W sieci pojawiła się nowa, niezwykle groźna kampania phishingowa. Cyberprzestępcy podszywają się pod Krajową Administrację Skarbową (KAS) oraz portal PUESC, przesyłając wiadomości o rzekomej nadpłacie podatku. Wyjaśniamy, jak nie dać się oszukać i ochronić swoje pieniądze.
Na czym polega oszustwo?
Scenariusz ataku jest prosty, ale skuteczny. Ofiara otrzymuje wiadomość (najczęściej SMS lub e-mail), z której dowiaduje się o rzekomym „zwrocie podatku” lub „wykrytej nadpłacie”. Aby otrzymać pieniądze, użytkownik jest zachęcany do kliknięcia w link przesyłany w treści wiadomości.
Link prowadzi do profesjonalnie przygotowanej, fałszywej strony internetowej, która do złudzenia przypomina oficjalny portal PUESC (Platforma Usług Elektronicznych Skarbowo-Celnych) lub stronę logowania do usług rządowych.
Przykładowa wiadomość od oszustów może wyglądać w następujący sposób:
Jak działają przestępcy?
Gdy wejdziesz na podrobioną stronę, zostaniesz poproszony o:
- Wybór swojego banku z listy dostępnych logotypów.
- Podanie danych do logowania (login i hasło) do bankowości internetowej.
- Wpisanie kodu z SMS lub autoryzację w aplikacji bankowej.
Pamiętaj: Podając te dane na podstawionej stronie, przekazujesz je bezpośrednio oszustom, którzy w tym samym momencie logują się na Twoje prawdziwe konto, by ukraść zgromadzone tam środki.
Na co zwrócić uwagę?
Adres URL – Oficjalne serwisy rządowe zawsze kończą się domeną .gov.pl. Oszuści używają łudząco podobnych nazw, np. portal-puesc[.]net, zwrot-podatku-gov[.]pl[.]it itp. Zawsze dokładnie sprawdzaj pasek adresu w przeglądarce!
Forma kontaktu – Ministerstwo Finansów oraz KAS nigdy nie przesyłają linków do formularzy zwrotu podatku w wiadomościach SMS ani e-mailach.
Presja czasu – Wiadomości często sugerują, że masz tylko kilka godzin na odebranie pieniędzy, co ma uśpić Twoją czujność.
Jak się chronić?
- Nie klikaj w linki dotyczące podatków, rozliczeń czy dopłat przesyłane w wiadomościach SMS.
- Loguj się bezpośrednio – Jeśli chcesz sprawdzić status swojego zwrotu podatku, wpisz ręcznie w przeglądarce adres podatki[.]gov[.]pl i zaloguj się do e-Urzędu Skarbowego poprzez oficjalny Węzeł Krajowy (np. Profil Zaufany lub aplikację mObywatel).
- Korzystaj z mObywatela – Bezpiecznym sposobem na sprawdzanie powiadomień od urzędów jest oficjalna aplikacja rządowa.
- Czytaj SMS-y z banku – Zanim zatwierdzisz jakąkolwiek operację kodem, przeczytaj dokładnie w treści SMS-a, co właściwie autoryzujesz (czy jest to logowanie, czy może dodanie „zaufanego odbiorcy”).
Co zrobić, jeśli podałeś dane na fałszywej stronie?
Jeśli zorientowałeś się, że mogłeś paść ofiarą oszustwa:
- Natychmiast skontaktuj się ze swoim bankiem poprzez oficjalną infolinię.
- Zablokuj dostęp do bankowości internetowej i zmień hasła.
- Zgłoś sprawę na policję oraz do zespołu CERT Polska (na stronie incydent[.]cert[.]pl lub przesyłając podejrzanego SMS-a na numer 8080).
Państwa bezpieczeństwo jest dla nas priorytetem. Prosimy o zachowanie szczególnej ostrożności i dzielenie się tą wiedzą z bliskimi.
