Czy KAS wysyła wiadomości dotyczące JPK_VAT z linkami?

Nie. Według komunikatu Krajowej Administracji Skarbowej powiadomienia dotyczące JPK_VAT nie zawierają żadnych linków, więc każda wiadomość z odnośnikiem powinna budzić podejrzenia.

Co zrobić, jeśli kliknąłem link z podejrzanego maila o JPK_VAT?

Nie podawaj żadnych danych na otwartej stronie i nie loguj się do żadnego systemu. Zgłoś zdarzenie na platformie CERT oraz skontaktuj się z infolinią KAS pod numerem 22 330 03 30.

Pod jaki numer zadzwonić, by sprawdzić, czy wiadomość jest prawdziwa?

Do infolinii Krajowej Administracji Skarbowej pod numerem 22 330 03 30. Weryfikację warto zrobić telefonicznie, a nie przez dane podane w podejrzanym mailu.

Gdzie zgłosić fałszywą wiadomość podszywającą się pod KAS?

Na platformie CERT, która przyjmuje zgłoszenia incydentów cyberbezpieczeństwa. Tam można przekazać podejrzaną wiadomość oraz podobne zdarzenia.

Fałszywe maile o JPK_VAT od KAS – jak nie dać się oszukać

KAS ostrzega przed fałszywymi wiadomościami dotyczącymi JPK_VAT. Sprawdź, po czym poznać oszustwo, co zrobić z podejrzanym mailem i gdzie go zgłosić.

Krajowa Administracja Skarbowa (KAS) alarmuje: oszuści rozsyłają wiadomości udające urzędową korespondencję dotyczącą JPK_VAT, by wyłudzić od odbiorców poufne dane.

Czym jest JPK_VAT i dlaczego przestępcy go wykorzystują?

JPK_VAT to elektroniczny plik kontrolny z ewidencją VAT, z którym kontaktuje się wielu przedsiębiorców i księgowych. Właśnie ta regularność czyni go przynętą. Osoba prowadząca firmę spodziewa się korespondencji z urzędu, więc jest bardziej skłonna otworzyć wiadomość bez zastanowienia.

Oszuści podszywają się pod kontakt w sprawie JPK_VAT i budują treść tak, by przypominała urzędowe pismo. Celem nie jest sama wiadomość, lecz reakcja odbiorcy: kliknięcie w odnośnik albo otwarcie załącznika. Po przejściu na fałszywą stronę użytkownik jest proszony o wpisanie wrażliwych informacji, które trafiają do przestępców.

Po czym poznać fałszywy e-mail od KAS?

Najprostszy sposób na rozpoznanie oszustwa to porównanie treści z tym, jak wygląda prawdziwa korespondencja. KAS jasno wskazuje, czego jej wiadomości dotyczące JPK_VAT nie zawierają.

Element wiadomości	Fałszywy e-mail	Prawdziwa korespondencja KAS
Link do kliknięcia	Typowo obecny	Brak linków
Prośba o logowanie do systemu	Typowo obecna	Brak prośby o logowanie
Strona po kliknięciu	Wymaga wrażliwych danych	Nie dotyczy (brak linku)

Sama szata graficzna nie jest wiarygodnym dowodem. Wiadomości oszustów celowo wyglądają jak oficjalne pisma, dlatego decyzję warto opierać na konkretnych cechach, a nie na wrażeniu.

Co zrobić krok po kroku, gdy dostaniesz podejrzaną wiadomość?

Nie klikaj w odnośniki. Jeśli mail zawiera link, a według KAS wiadomości dotyczące JPK_VAT linków nie mają, to już sygnał ostrzegawczy.
Nie otwieraj załączników. Cel oszustów to właśnie otwarcie pliku, który może zawierać złośliwe oprogramowanie lub prowadzić na fałszywą stronę.
Nie przekazuj poufnych informacji. Żadne dane logowania, numery identyfikacyjne ani dane firmowe nie powinny trafić do nadawcy podejrzanej wiadomości.
Zweryfikuj sprawę samodzielnie. Zadzwoń na infolinię KAS pod numer 22 330 03 30, korzystając z numeru, który znasz z innego, wiarygodnego źródła, a nie z treści maila.
Zgłoś incydent. Przekaż wiadomość na platformę CERT.

Ta kolejność ma znaczenie. Najczęstszym błędem nie jest samo otwarcie maila, lecz pośpiech w działaniu pod wpływem „pilnej” sprawy.

Gdzie zgłosić fałszywą wiadomość i podobne zdarzenia?

Platforma CERT służy do zgłaszania incydentów cyberbezpieczeństwa. Można tam przekazać podejrzaną wiadomość, a także inne zdarzenia o podobnym charakterze. Zgłoszenie pomaga wykryć kampanię i ostrzec kolejnych odbiorców, zanim padną ofiarą oszustwa.

Warto pamiętać, że zgłoszenie nie wymaga pewności, że doszło do wyłudzenia. Wystarczy uzasadnione podejrzenie, że wiadomość nie pochodzi od urzędu.

Co to oznacza dla Ciebie?

Jeśli prowadzisz firmę, rozliczasz VAT lub zajmujesz się księgowością, dotyczy Cię to bezpośrednio. Oszuści wykorzystują właśnie obowiązki podatkowe, bo odbiorca jest w nich czujny na pilne terminy. Zasada jest prosta: prawdziwe komunikaty KAS w sprawie JPK_VAT nie zawierają linków ani próśb o logowanie, więc każde takie żądanie w mailu jest powodem do wstrzymania się i weryfikacji. Jeśli już kliknąłeś lub podałeś dane, działaj natychmiast: zgłoś sprawę na platformie CERT, skontaktuj się z infolinią KAS i zmień hasła do kont, których dotyczył podejrzany mail.