Oszustwa phishingowe o zwrocie podatku: jak chronić się przed fałszywymi SMS-ami KAS

Oszustwa phishingowe podszywające się pod Krajową Administrację Skarbową stanowią poważne zagrożenie dla bezpieczeństwa danych i finansów polskich podatników. Przestępcy rozsyłają fałszywe wiadomości SMS i e-maile, które wyglądają jak oficjalne powiadomienia o zwrocie nadpłaconego podatku dochodowego, a ich celem jest kradzież danych bankowych i danych osobowych odbiorców.

Jak wygląda oszustwo phishingowe o zwrocie podatku?

Oszuści przygotowują wiadomości, które naśladują styl i wygląd oficjalnych komunikatów z instytucji publicznych. Mogą zawierać logotypy Krajowej Administracji Skarbowej, Ministerstwa Finansów lub e-Urzędu Skarbowego, co ma wzbudzić zaufanie odbiorcy. W konkretnym przykładzie ostrzeżenia KAS z 6 sierpnia wiadomość była zatytułowana „Decyzja o zwrocie nadpłaty podatku” i informowała o przyznaniu zwrotu podatku za 2025 rok w wysokości 2358,50 zł.

Struktura oszustwa jest zawsze podobna: wiadomość zawiera przycisk zachęcający do działania (np. „Odbierz zwrot podatku”), a następnie prosi odbiorcę o wykonanie dwóch kroków — potwierdzenie tożsamości oraz „zaktualizowanie preferowanej metody płatności”. To ostatnie polecenie jest kluczowe dla oszustów, ponieważ w rzeczywistości zmierza do uzyskania dostępu do danych rachunku bankowego.

Presja czasu jako narzędzie manipulacji

Jednym z najważniejszych elementów strategii oszustów jest sztuczne wywoływanie poczucia pilności. Wiadomości informują, że dane należy potwierdzić lub zaktualizować w ciągu 48 godzin, a po tym terminie przesłany link ma rzekomo stracić ważność. Ta presja czasu ma skłonić adresata do szybkiego działania bez dokładnego sprawdzenia nadawcy, autentyczności wiadomości lub jej treści.

Psychologicznie presja czasowa działa na zasadzie zmniejszenia czasu do refleksji — osoba, która czuje się pospieszona, jest mniej skłonna do krytycznego myślenia i weryfikacji informacji. Dodatkowo, obietnica zwrotu pieniędzy (w przykładzie z ostrzeżenia KAS kwota 2358,50 zł) odwołuje się do emocji i potencjalnych oczekiwań podatnika na zwrot nadpłaty.

Jak rozpoznać fałszywą wiadomość od KAS?

Krajowa Administracja Skarbowa jasno podkreśla, że nigdy nie wysyła wiadomości e-mail ani SMS-ów z prośbą o potwierdzenie numeru rachunku bankowego. Nie wymaga również podawania jakichkolwiek danych za pośrednictwem linków zawartych w wiadomościach w celu realizacji zwrotu nadpłaty podatku PIT.

Poniższa tabela pokazuje, jakie elementy powinny wzbudzić Twoją czujność:

Element wiadomości	Czy to znak oszustwa?	Wyjaśnienie
Prośba o potwierdzenie tożsamości	TAK	KAS nigdy nie prosi o to przez SMS lub e-mail
Polecenie aktualizacji rachunku bankowego	TAK	Dane bankowe nigdy nie są aktualizowane przez linki w wiadomościach
Presja czasu (48 godzin)	TAK	Oficjalne instytucje nie używają sztucznych terminów
Przycisk do kliknięcia w wiadomości	TAK	KAS kieruje na oficjalną stronę, nie wysyła linków
Obietnica szybkiego zwrotu pieniędzy	TAK	Oszuści używają obietnic finansowych jako przynęty
Logotypy instytucji publicznych	MOŻE	Oszuści mogą je skopiować; sprawdź adres URL

Co to oznacza dla Ciebie jako podatnika?

Jeśli otrzymasz wiadomość o zwrocie podatku, niezależnie od tego, czy rzeczywiście oczekujesz zwrotu, czy nie — nigdy nie klikaj w linki zawarte w SMS-ach lub e-mailach. Zamiast tego zawsze loguj się bezpośrednio do e-Urzędu Skarbowego, wpisując adres w przeglądarce ręcznie lub poprzez zakładkę ulubionych. To jedyny bezpieczny sposób sprawdzenia, czy rzeczywiście przysługuje Ci zwrot podatku.

Szczególną ostrożność powinieneś okazać, jeśli wiadomość zawiera którykolwiek z następujących elementów: polecenie potwierdzenia tożsamości, prośbę o aktualizację rachunku bankowego, wybór metody płatności, presję czasową lub obietnicę szybkiego zwrotu. Żaden z tych elementów nie pojawia się w oficjalnych komunikatach KAS.

Kroki, które powinieneś podjąć, jeśli podejrzewasz oszustwo

Jeśli otrzymasz podejrzaną wiadomość, nie usuwaj jej od razu — może być dowodem. Zamiast tego:

1. Nie klikaj w żadne linki zawarte w wiadomości
2. Nie podawaj żadnych danych ani nie potwierdzaj żadnych informacji
3. Zaloguj się do e-Urzędu Skarbowego na oficjalnej stronie (wpisz adres ręcznie lub użyj ulubionych)
4. Sprawdź swoje rozliczenie bezpośrednio w systemie KAS
5. Rozważ zgłoszenie podejrzanej wiadomości do lokalnej policji cyberprzestępczości lub CERT Polska

Warto również pamiętać, że jeśli rzeczywiście przysługuje Ci zwrot podatku, KAS będzie mieć Twoje dane bankowe z poprzednich rozliczeń lub będzie czekać na Twoje działanie w e-Urzędzie Skarbowym. Nigdy nie będzie Cię prosić o aktualizację tych danych poprzez wiadomość SMS lub e-mail.

Dlaczego oszuści wybierają podatników jako cel?

Podatnicy są szczególnie podatni na tego typu oszustwa z kilku powodów. Po pierwsze, temat zwrotu podatku budzi emocje i oczekiwania finansowe — ludzie chętnie wierzą w obietnicę zwrotu pieniędzy. Po drugie, komunikacja z instytucjami publicznymi jest formalnym obszarem, gdzie oszuści mogą łatwo podrabiać oficjalny ton i wygląd wiadomości. Po trzecie, wielu podatników regularnie rozlicza się z fiskusem, więc wiadomość o zwrocie wydaje się dla nich wiarygodna.

Oszuści liczą na to, że osoba, która otrzyma taką wiadomość, będzie działać szybko i bez weryfikacji — zwłaszcza jeśli wiadomość zawiera presję czasową. Im więcej osób kliknie w link, tym więcej danych zostanie skradzionych, a potencjalnie — tym więcej kont bankowych zostanie zagrożonych.