WIADOMOŚCI

Fałszywe zwroty podatku 2026: Jak oszuści wyłudzają PESEL i dane bankowe

Analiza

W okresie jesiennych rozliczeń podatkowych, kiedy wielu obywateli oczekuje zwrotu nadpłaty z PIT za rok 2025, cyberprzestępcy wykorzystują tę sytuację do masowych kampanii phishingowych. Oszuści podszywają się pod oficjalne serwisy administracji skarbowej, takie jak podatki.gov.pl czy system PUESC, rozsyłając wiadomości e-mail z fałszywymi informacjami o nadpłacie i konieczności szybkiego potwierdzenia danych. Mechanizm ataku opiera się na technice spoofingu, gdzie w polu nadawcy pojawia się pozornie wiarygodny adres typu hanna@podatki[.]gov.pl, mimo że wiadomość pochodzi od cyberprzestępców. Po kliknięciu w link ofiara trafia na fałszywą stronę, gdzie stopniowo wyłudzane są najpierw dane osobowe (PESEL, imię, nazwisko, adres e-mail, numer telefonu), a następnie wrażliwe informacje bankowe, w tym dane uwierzytelniające do bankowości elektronicznej. Kluczowym elementem oszustwa jest wywoływanie pośpiechu – wiadomości zawierają komunikaty typu „PILNE: Zatwierdź zwrot podatku”, co ma skłonić odbiorcę do natychmiastowego działania. Analiza wykrytych przez CERT Orange Polska złośliwych domen ujawniła, że przestępcy celują nie tylko w dane osobowe, ale także w pełny dostęp do kont bankowych, wykorzystując mechanizmy zwrotu środków na rachunek lub kartę płatniczą. Warto podkreślić, że w przypadku banków innych niż PKO BP, oszuści wprowadzają dodatkową barierę – sugerując, że kwota zwrotu jest zbyt niska, co ma zniechęcić ofiary do sprawdzania autentyczności wiadomości. Taki schemat pozwala na wyłudzenie nie tylko pieniędzy, ale także pełnej tożsamości cyfrowej, co może posłużyć do dalszych oszustw, takich jak kradzież tożsamości czy nieautoryzowane transakcje finansowe.

Kontekst i Tło

Kampanie phishingowe podszywające się pod urząd skarbowy stanowią poważne zagrożenie dla bezpieczeństwa finansowego obywateli, szczególnie w okresach masowych rozliczeń podatkowych. Według danych CERT Orange Polska, przestępcy wykorzystują zarówno techniki społecznego inżynierii, jak i zaawansowane metody techniczne, aby wyłudzić wrażliwe informacje. Skutkiem takich działań może być nie tylko utrata pieniędzy, ale także poważne naruszenie prywatności, takie jak kradzież tożsamości czy nieautoryzowane operacje na kontach bankowych. W kontekście rosnącej cyfryzacji usług publicznych, taka forma cyberprzestępczości wymaga od użytkowników podwyższonej czujności oraz weryfikacji każdej nieoczekiwanej wiadomości o zwrotach finansowych. Ponadto, incydenty te podkreślają konieczność wzmocnienia edukacji w zakresie cyberbezpieczeństwa, aby minimalizować ryzyko padnięcia ofiarą takich oszustw. Dla administracji publicznej stanowi to również wyzwanie w zakresie komunikacji bezpiecznych kanałów kontaktowych z obywatelami.

Komentarz Redakcji

Absurd polega na tym, że przestępcy nie tylko kopiują wizerunek urzędu skarbowego, ale także wprowadzają dodatkowe bariery dla ofiar, aby zniechęcić je do weryfikacji autentyczności wiadomości. To dowód na to, jak skrupulatnie planowane są współczesne oszustwa – każdy element ma na celu wywołanie pośpiechu i zniechęcenie do krytycznego myślenia. W dobie cyfrowej administracji, taka manipulacja stanowi nie tylko zagrożenie finansowe, ale także poważne wyzwanie dla zaufania obywateli do systemu publicznego.