Czy KAS wysyła e-maile z prośbą o potwierdzenie danych bankowych?

Nie. Krajowa Administracja Skarbowa nigdy nie prosi o numer konta bankowego ani dane do przetworzenia zwrotu PIT drogą e-mail lub SMS. Jeśli otrzymasz taką wiadomość, jest to phishing.

Co powinienem zrobić, jeśli kliknąłem link w podejrzanym e-mailu?

Natychmiast zmień hasło do swojego konta bankowego i e-Tax Office, skontaktuj się z bankiem, a także rozważ zawiadomienie policji. Nie udostępniaj żadnych dodatkowych danych.

Jak rozpoznać fałszywy e-mail od KAS?

Zwróć uwagę na presję czasową (np. „48 godzin"), błędy ortograficzne, prośbę o kliknięcie linku lub potwierdzenie tożsamości. Zawsze weryfikuj informacje bezpośrednio na oficjalnej stronie KAS, nie klikając linku z wiadomości.

Czy zwrot PIT zawsze wymaga potwierdzenia w e-Tax Office?

Nie. Jeśli KAS ma prawidłowe dane bankowe z Twojej deklaracji, zwrot trafia automatycznie na wskazane konto. Dodatkowe potwierdzenie nie jest konieczne.

Jaki jest cel oszustów wysyłających te wiadomości?

Celem jest kradzież danych osobowych, loginów, numerów kont bankowych lub przejęcie kontroli nad kontem. Dane te mogą być następnie wykorzystane do kradzieży pieniędzy lub dalszych oszustw.

Phishing na zwrot PIT: jak nie paść ofiarą oszustwa KAS

Oszuści podszywają się pod KAS i obiecują zwrot podatku PIT. Dowiedz się, jak rozpoznać fałszywe wiadomości i chronić swoje dane bankowe przed kradzieżą.

Fałszywe e-maile podszywające się pod Krajową Administrację Skarbową stanowią poważne zagrożenie dla podatników, szczególnie w okresach, gdy spodziewają się informacji o zwrocie podatku dochodowego.

Jak wygląda oszustwo na zwrot PIT

Oszuści wysyłają wiadomości e-mail lub SMS, które pozornie pochodzą z KAS lub Ministerstwa Finansów. Wiadomości informują odbiorców o rzekomym zwrocie nadpłaconego podatku PIT i nakazują potwierdzenie tożsamości oraz „aktualizację preferowanej metody płatności”. W rzeczywistości link zawarty w wiadomości prowadzi do sfałszowanej strony, gdzie przestępcy zbierają dane osobowe, loginy, numery kont bankowych i inne wrażliwe informacje.

Oszuści celowo nawiązują do procedur e-Tax Office i mogą wykorzystywać rzeczywiste informacje z deklaracji podatkowej odbiorcy, aby wiadomość wydawała się wiarygodna. Umieszczają również presję czasową — przykładowo informują, że link wygasa w ciągu 48 godzin, a jeśli nie potwierdzi się danych w tym okresie, zwrot będzie wysłany pocztą, przedłużając oczekiwanie do 30 dni roboczych. Ta taktyka zmusza odbiorcę do szybkiego działania bez dokładnego sprawdzenia wiadomości.

Charakterystyczne cechy fałszywych wiadomości

Element	Cecha fałszywej wiadomości	Co robić
Nadawca	Pozorna nazwa KAS, Ministerstwa Finansów, e-Tax Office	Sprawdź rzeczywisty adres e-mail, a nie tylko wyświetlaną nazwę
Link	Prośba o kliknięcie linku do potwierdzenia danych	Nigdy nie klikaj linku z e-maila; wejdź na stronę KAS bezpośrednio
Termin	Presja czasowa: „48 godzin”, „link wygasa”	Bądź podejrzliwy wobec wiadomości tworzących poczucie pilności
Dane	Prośba o numer konta, login, hasło, PESEL	KAS nigdy nie prosi o takie dane drogą elektroniczną
Język	Mogą zawierać błędy ortograficzne lub nienaturalne sformułowania	Oficjalne wiadomości KAS są bezbłędne i profesjonalne

Co to oznacza dla Ciebie

Jeśli otrzymasz e-mail lub SMS o zwrocie PIT z prośbą o potwierdzenie danych, powinieneś wiedzieć, że jest to najprawdopodobniej phishing. KAS nigdy nie wysyła takich wiadomości. Jeśli zwrot podatku ci się należy, trafia on automatycznie na konto wskazane w deklaracji — bez konieczności dodatkowego potwierdzenia czy „aktualizacji” danych. Jedynym wyjątkiem są sytuacje, gdy sam złożyłeś wniosek o zmianę rachunku bankowego bezpośrednio w e-Tax Office, ale nawet wtedy potwierdzenie odbywa się przez bezpieczny system, a nie poprzez link w e-mailu.

Jak chronić się przed phishingiem na zwrot PIT

Pierwszą linią obrony jest nieufność wobec każdej wiadomości, która:

Zawiera link do kliknięcia w kontekście operacji finansowych
Prosi o potwierdzenie tożsamości, numeru konta lub innych danych wrażliwych
Tworzy presję czasową lub grozi konsekwencjami
Pochodzi od instytucji publicznej, ale zawiera błędy ortograficzne lub dziwne sformułowania

Zamiast klikać linki z e-maili, zawsze wchodź na oficjalną stronę KAS samodzielnie, wpisując adres w przeglądarkę. Jeśli chcesz sprawdzić status swojego zwrotu, zaloguj się do e-Tax Office za pośrednictwem bezpiecznego logowania (np. przez Profil Zaufany, e-dowód lub dane dostępu, które sam ustawiłeś). W ten sposób upewnisz się, że komunikujesz się z rzeczywistą instytucją, a nie z fałszywą stroną przygotowaną przez oszustów.

Zwróć również uwagę na adres e-mail nadawcy. Oszuści mogą używać adresów, które wyglądają podobnie do oficjalnych (np. kas-info@mail.com zamiast rzeczywistego adresu), ale zawsze zawierają subtelne różnice. Jeśli masz wątpliwości, skontaktuj się bezpośrednio z KAS poprzez oficjalny numer telefonu dostępny na ich stronie internetowej.

Co zrobić, jeśli padłeś ofiarą oszustwa

Jeśli kliknąłeś link i podałeś swoje dane, działaj szybko. Zmień hasło do konta bankowego i e-Tax Office z innego urządzenia (nie tego, na którym mogła nastąpić infekcja). Powiadom swój bank o podejrzeniu kradzieży danych i zaproś go do monitorowania aktywności na koncie. Rozważ również złożenie zawiadomienia na policję, szczególnie jeśli doszło do faktycznej straty finansowej. Nie czekaj — każda minuta może mieć znaczenie.

Krajowa Administracja Skarbowa regularnie publikuje ostrzeżenia o nowych falach phishingu, aby podatnicy byli czujni. Pamiętaj: żadna instytucja publiczna nie będzie prosić cię o dane bankowe drogą e-mail. Jeśli otrzymasz taką wiadomość, jest to zawsze oszustwo.