Oszuści coraz częściej podszywają się pod skarbówkę, kusząc wiadomością o rzekomym zwrocie podatku. Obietnica pieniędzy skutecznie usypia czujność – wystarczy kliknąć w link, aby zamiast na stronę urzędu trafić w pułapkę. W tym artykule wyjaśniamy, jak rozpoznać fałszywy zwrot podatku, jak naprawdę wygląda zwrot nadpłaty i gdzie zgłosić podejrzaną wiadomość.
Spis treści
- Na czym polega oszustwo na zwrot podatku?
- Jak rozpoznać fałszywy zwrot podatku?
- Jak naprawdę kontaktuje się skarbówka (KAS)?
- Jak wygląda prawdziwy zwrot nadpłaty podatku?
- Co zrobić po otrzymaniu podejrzanej wiadomości?
- Dlaczego to szczególne ryzyko dla firm?
- Najczęściej zadawane pytania (FAQ)
Na czym polega oszustwo na zwrot podatku?
Schemat jest prosty, bo gra na pozytywnej emocji. Dostajesz maila (lub SMS) z informacją, że urząd skarbowy ma dla Ciebie pieniądze – nadpłatę podatku, zwrot PIT, konkretną kwotę do odebrania. Żeby dowiedzieć się więcej lub „przyspieszyć zwrot”, wystarczy kliknąć w przesłany link.
I tu zaczyna się problem. Link prowadzi na stronę łudząco podobną do prawdziwego serwisu skarbowego. Następnie pojawia się prośba o potwierdzenie danych, aktualizację numeru rachunku bankowego, podanie loginu lub danych karty płatniczej. W ten sposób przestępcy przejmują Twoje dane, dostęp do konta, a w konsekwencji – pieniądze. To klasyczny phishing: zamiast włamywać się do firmy, oszust liczy, że ktoś sam kliknie jeden dobrze przygotowany link.
Jak rozpoznać fałszywy zwrot podatku?
Jest kilka sygnałów ostrzegawczych, które powinny zapalić czerwoną lampkę:
- Link do „szybkiej procedury zwrotu” lub „potwierdzenia rachunku” – prawdziwy zwrot nigdy tego nie wymaga.
- Presja czasu – sformułowania typu „termin upływa wkrótce” albo „masz 48 godzin”.
- Podejrzany adres nadawcy – w jednej z kampanii nazwa zawierała „puesc.gov.pl”, ale adres wskazywał na zagraniczną domenę „.dk”, nienależącą do Ministerstwa Finansów.
- Prośba o dane – PESEL, login do profilu zaufanego, dane karty lub logowania do bankowości.
- Odesłanie do platformy PUESC w kontekście zwrotu PIT – to sygnał alarmowy (o czym niżej).
Warto wiedzieć, że oszuści regularnie stosują ten sam schemat, zmieniając jedynie nazwę instytucji, logo i wygląd wiadomości – raz podszywają się pod skarbówkę, raz pod operatora komórkowego czy ZUS.
Jak naprawdę kontaktuje się skarbówka (KAS)?
Znajomość prawdziwych zasad to najprostszy sposób odróżnienia prawdy od fałszu. Krajowa Administracja Skarbowa (KAS) nie wysyła e-maili z prośbą o potwierdzenie numeru konta, zalogowanie się w PUESC ani podanie jakichkolwiek danych w celu realizacji zwrotu PIT. To komunikat wprost od samej administracji.
Co do zasady komunikacja między KAS a podatnikiem odbywa się tradycyjną korespondencją (w tym listami poleconymi) lub elektronicznie w systemie e-Doręczeń oraz w e-Urzędzie Skarbowym. Ważny szczegół: platforma PUESC służy do spraw celnych i akcyzowych, a nie do zwrotów podatku dochodowego dla osób fizycznych – każda próba przekierowania Cię tam „po zwrot PIT” powinna wzbudzić czujność.
Jak wygląda prawdziwy zwrot nadpłaty podatku?
Prawdziwy zwrot jest w pełni zautomatyzowany i nie wymaga od Ciebie żadnego klikania. Środki trafiają na rachunek bankowy wskazany w zeznaniu podatkowym lub w systemie e-Urząd Skarbowy. Podatnik nie musi „potwierdzać dyspozycji”, „aktualizować rachunku” przez link ani „przyspieszać” wypłaty.
Oszuści bywają jednak sprytni i wykorzystują rzeczywiste terminy. Urząd ma co do zasady 3 miesiące na zwrot, licząc od terminu złożenia zeznania. Dla rozliczenia za 2025 rok termin złożenia PIT upłynął 30 kwietnia 2026 roku, więc trzy miesiące minęły z końcem lipca – i właśnie w takich okresach fałszywe maile o „oczekującym zwrocie” wyglądają szczególnie wiarygodnie. To jak fałszywy bilet wręczony dokładnie wtedy, gdy naprawdę czekasz na pociąg.
Co zrobić po otrzymaniu podejrzanej wiadomości?
Najważniejsza jest chwila spokoju. Kilka prostych zasad chroni przed większością takich ataków:
- Nie klikaj w link i nie pobieraj załączników.
- Zweryfikuj samodzielnie – wejdź do e-Urzędu Skarbowego, wpisując adres ręcznie, a nie z wiadomości.
- Zapytaj biuro rachunkowe – jeden telefon za dużo jest lepszy niż skutki oszustwa.
- Zgłoś podejrzaną wiadomość – e-maile przez formularz na incydent.cert.pl lub w aplikacji mObywatel („Bezpiecznie w sieci”), podejrzane SMS-y na numer 8080.
- Wątpliwości wyjaśnisz też telefonicznie – infolinia KAS: 22 330 03 30.
Jeżeli ktoś zdążył już kliknąć oraz podać dane lub pieniądze, powinien działać natychmiast: powiadomić bank oraz policję. Szybka reakcja ogranicza skutki oszustwa.
Dlaczego to szczególne ryzyko dla firm?
W firmie stawka jest wyższa, bo dostęp do poczty, bankowości i systemów finansowych ma często kilka osób. Dzisiaj oszust nie musi włamywać się do przedsiębiorstwa – czasem wystarczy, że jeden pracownik kliknie dobrze przygotowany link.
Dlatego warto uczulić zespół, zwłaszcza osoby obsługujące firmową skrzynkę i płatności. Prosta zasada „najpierw weryfikuj, potem klikaj” oraz jasna ścieżka zgłaszania podejrzanych wiadomości (do przełożonego, biura rachunkowego lub działu IT) działają jak firmowa polisa – tania, a potrafi uchronić przed realną stratą. To element szerszej higieny cyberbezpieczeństwa, o którą warto zadbać w każdej firmie.
Najczęściej zadawane pytania (FAQ)
Czy urząd skarbowy wysyła maile o zwrocie podatku z linkiem?
Nie. Krajowa Administracja Skarbowa nie wysyła e-maili ani SMS-ów z linkami do potwierdzenia danych czy „przyspieszenia” zwrotu podatku. Każda taka wiadomość z linkiem i prośbą o dane to phishing – próba oszustwa.
Jak rozpoznać fałszywy zwrot podatku?
Fałszywy zwrot podatku poznasz po linku do „szybkiej procedury”, presji czasu (np. 48 godzin), prośbie o PESEL, dane karty lub logowania oraz podejrzanym adresie nadawcy. Sygnałem alarmowym jest też odsyłanie do platformy PUESC w sprawie zwrotu PIT.
Jak wygląda prawdziwy zwrot nadpłaty podatku?
Prawdziwy zwrot jest zautomatyzowany – pieniądze trafiają na rachunek wskazany w zeznaniu lub w e-Urzędzie Skarbowym. Podatnik nie musi klikać w żaden link ani potwierdzać danych. Urząd ma co do zasady 3 miesiące na zwrot od terminu złożenia zeznania.
Gdzie zgłosić fałszywy mail o zwrocie podatku?
Podejrzane e-maile zgłoś przez formularz na incydent.cert.pl lub w aplikacji mObywatel w opcji „Bezpiecznie w sieci”. Podejrzane SMS-y przekaż na numer 8080. Wątpliwości wyjaśnisz też na infolinii KAS pod numerem 22 330 03 30.
Kliknąłem w fałszywy link o zwrocie podatku – co robić?
Działaj natychmiast: powiadom swój bank i zgłoś sprawę policji. Jeśli podałeś dane logowania, zmień hasła i zablokuj dostęp do bankowości. Szybka reakcja ogranicza skutki oszustwa i ryzyko dalszego wykorzystania danych.
Czy platforma PUESC służy do zwrotu podatku PIT?
Nie. Platforma PUESC obsługuje sprawy celne, akcyzowe i wybrane usługi elektroniczne, a nie zwroty podatku dochodowego dla osób fizycznych. Każda próba przekierowania na PUESC w kontekście zwrotu PIT powinna wzbudzić Twoją czujność.
Masz wątpliwości, czy wiadomość o zwrocie podatku jest prawdziwa? Skontaktuj się z nami – jako Twoje biuro rachunkowe szybko zweryfikujemy każdą informację o rozliczeniach i pomożemy bezpiecznie zareagować.
