Fałszywe wiadomości o zwrocie podatku wracają co roku, szczególnie w okresie rozliczeń PIT i wypłat nadpłat. Schemat jest prosty: przestępcy wysyłają e-mail, który ma wyglądać jak oficjalna korespondencja z KAS, Ministerstwa Finansów albo e-Urzędu Skarbowego.

W treści pojawia się informacja o rzekomej nadpłacie podatku, konieczności potwierdzenia rachunku bankowego albo szybkim terminie na dokończenie procedury. Wiadomość zwykle zawiera link. Po kliknięciu użytkownik trafia na stronę, która może udawać portal podatkowy, bankowość elektroniczną albo panel płatności.

Cel jest jeden: wyłudzić dane, przejąć konto albo skłonić ofiarę do zatwierdzenia operacji finansowej. CERT Polska ostrzegał w 2026 roku przed kolejnymi kampaniami phishingowymi na rzekomy zwrot podatku, a KAS przypomina, że nie wysyła maili ani SMS-ów z prośbą o potwierdzenie numeru konta w celu realizacji zwrotu PIT.

Jak wygląda fałszywa wiadomość?

Taki e-mail często ma urzędowy ton. Może zawierać logo instytucji, słowa „zwrot podatku”, „nadpłata”, „e-Urząd Skarbowy”, „Krajowa Administracja Skarbowa” albo „Ministerstwo Finansów”. Oszuści próbują stworzyć wrażenie, że odbiorca ma do odebrania pieniądze, ale musi szybko potwierdzić dane.

Często pojawia się też presja czasu. Wiadomość sugeruje, że termin mija wkrótce, procedura zostanie anulowana albo pieniądze przepadną, jeśli podatnik nie kliknie w link. To typowy mechanizm phishingu: odbiorca ma działać szybko, bez sprawdzania szczegółów.

Niebezpieczne mogą być również załączniki. CERT Polska przypomina, że wiadomości od nieznanych nadawców, zwłaszcza z plikami do pobrania, trzeba traktować ostrożnie. Fałszywy dokument z urzędu może służyć nie tylko do wyłudzenia danych, ale też do zainfekowania urządzenia.

KAS nie prosi mailem o numer konta

Najważniejsza zasada jest prosta: Krajowa Administracja Skarbowa nie wysyła wiadomości e-mail ani SMS-ów z prośbą o potwierdzenie numeru rachunku bankowego albo podanie danych w celu realizacji zwrotu nadpłaty PIT.

Jeżeli w wiadomości znajduje się link do „potwierdzenia konta” lub „uruchomienia zwrotu”, trzeba zachować szczególną ostrożność. Najbezpieczniej nie klikać w link, nie pobierać załączników i nie odpowiadać na wiadomość.

Prawdziwe informacje dotyczące podatków należy sprawdzać samodzielnie przez oficjalne serwisy, wpisując adres strony w przeglądarce. Nie należy korzystać z linku otrzymanego w podejrzanym mailu, nawet jeśli wiadomość wygląda profesjonalnie i zawiera elementy graficzne podobne do urzędowych.

Skutki mogą dotknąć nie tylko prywatnego konta

Dla zwykłego użytkownika ryzyko jest oczywiste: utrata pieniędzy z konta, wyłudzenie danych osobowych albo przejęcie dostępu do bankowości. Problem może jednak dotyczyć także firm, księgowości i instytucji.

Jeśli pracownik kliknie w fałszywy link z firmowej poczty, oszuści mogą zdobyć dane logowania, przejąć skrzynkę e-mail albo wykorzystać ją do kolejnych ataków. W praktyce może to prowadzić do fałszywych faktur, podmiany numeru rachunku kontrahenta albo wysyłania wiadomości do klientów z zaufanego adresu.

Dlatego firmy powinny traktować takie wiadomości jak ryzyko finansowe, a nie tylko problem informatyczny. Jedna fałszywa wiadomość może skończyć się przelewem na konto przestępcy albo wyciekiem danych klientów.

Co zrobić, jeśli dostaniemy taki mail?

Przede wszystkim nie należy klikać w link i ani otwierać wszelkich załączników. Należy sprawdzić adres nadawcy, treść wiadomości i to, czy nie ma w niej presji czasu, błędów językowych albo nietypowej prośby o dane. Jeśli mail dotyczy podatków, można samodzielnie wejść na oficjalny serwis podatkowy, zamiast korzystać z linku z wiadomości.

Podejrzaną wiadomość lub stronę można zgłosić do CERT Polska przez formularz incydent.cert.pl albo w aplikacji mObywatel w usłudze „Bezpiecznie w sieci”. Dzięki temu specjaliści mogą szybciej reagować na fałszywe strony i ostrzegać innych użytkowników.

Jeśli ktoś kliknął link i podał dane bankowe, powinien jak najszybciej skontaktować się z bankiem, zastrzec dostęp lub kartę, zmienić hasła i sprawdzić historię transakcji. Jeśli doszło do utraty pieniędzy, sprawę należy zgłosić również policji.

Najważniejsze jest, by nie działać pod wpływem emocji. Zwrot podatku, pilny termin, groźba kontroli albo informacja o dopłacie mają skłonić odbiorcę do szybkiej reakcji. Właśnie wtedy najłatwiej popełnić błąd.