e-PIT lada moment, uważaj na oszustwa!

Początek roku to tradycyjnie czas dla większości z nas na rozliczenie rocznego zeznania podatkowego. Czas na to mamy do końca kwietnia. Ci z Was, którzy korzystają z automatycznego wypełniania PIT, swoje zeznania w serwisie e-PIT będą mogli sprawdzić już w niedzielę 15 lutego. Moment oczekiwania na potencjalny zwrot podatku postanowili wykorzystać oszuści, rozsyłając SMS-y obiecujące możliwość odebrania rzekomej nadpłaty.

W ostatnich dniach CERT Orange Polska obserwuje wzmożony napływ ruchu SMS, podszywającego się pod źródła rządowe. Jako nadawca wiadomości początkowo pojawiały się nadpisy „GOV” i „MOF”, w późniejszym etapie oszuści przerzucili się na zwykłe numery. Można oczekiwać, że w miarę blokad konkretnych nadpisów będą próbowali wykorzystywać nazwy mniej lub bardziej przypominające te wymienione powyżej.

Domena bezpieczny-zwrot-podatku[.]com, do której przekierowują linki z wiadomości, została założona we wtorek 10 lutego. Po kliknięciu w link trafiamy na witrynę utrzymaną w stylistyce polskich stron rządowych. Jej część to wierna kopia serwisu Ministerstwa Finansów. Kluczowe jest jednak sama treść, a nie elementy wizualne:

Ostrzegając Was na co uważać, gdy strona wydaje się być phishingiem, kładziemy nacisk na dokładną lekturę jej treści. Zwrot

rząd Polski jest Ci winien pieniądze

jest zbyt potoczny, by znaleźć się na witrynie Ministerstwa Finansów. Co więcej – weryfikacja tożsamości obywatela nie następuje poprzez wpisanie danych, a za pośrednictwem serwisu login.gov.pl.

Gdy trafiasz na ekran logowania do serwisów rządowych ZAWSZE upewnij się, czy adres jest poprawny, a nie bliźniaczo podobny! Podając swoje dane, szczególnie pozwalające na dostęp do istotnych informacji, zawsze warto upewnić się co do autentyczności odwiedzonej strony.

Co wyłudzają oszuści pod pozorem zwrotu z e-PIT?

Tego dowiadujemy się się już w kolejnym kroku, gdy pojawia się okno z monitem o wybór naszego banku pod pozorem potwierdzenia tożsamości, niezbędnej do zwrotu rzekomej nadwyżki z e-PIT.

Ta socjotechniczna sztuczka może oszukać część internautów. Dlaczego? Wiele osób wie bowiem, że jedną z metod dostępu do serwisów rządowych jest zalogowanie się przy użyciu systemów e-bankowości! Dlatego trzeba pamiętać, by logując się do banku obowiązkowo upewnić się, czy w adres w pasku jest adresem naszego banku! W powyższym przypadku tak nie jest – graficzna nakładka podszywa się pod Bank Millenium, podczas gdy nie opuściliśmy domeny bezpieczny-zwrot-podatku[.]com.

Co stanie się, gdy nieopatrznie wpiszemy na takiej stronie nasz login i hasło? W kolejnym kroku zobaczymy monit o podanie kodu SMS opisany tak, by nie wzbudzić naszego niepokoju. Gdy go wpiszemy – przestępcy przejmą niemal pełną kontrolę nad naszym kontem. A ponieważ przy takich kampaniach oszuści zwykle obsługują je na bieżąco, ofiara po kilku minutach mogłaby już mieć wyczyszczone konto.

Co robić, by nie dać się oszukać?

Nie ufaj SMS-om o treści związanej z podatkami. Jeśli chcesz sprawdzić swoje zeznanie podatkowe – od 15 lutego zrobisz to w serwisie https://epit.podatki.gov.pl/. Wszelkie interakcje z serwisami rządowymi podejmuj wyłącznie na stronach, których adres kończy się na gov.pl.

A poza tym niezmiennie pamiętaj, by:

• do linków w SMS-ach podchodzić z bardzo ograniczonym zaufaniem
• im więcej emocji wywołuje treść wiadomości – tym dokładniej się jej przyjrzeć
• upewnić się co do adresu strony zawsze, gdy wpisujesz gdzieś login/hasło/dane karty płatniczej
• bardzo dokładnie czytać treści SMS-ów z kodami autoryzacyjnymi od banku (zazwyczaj szczegółowo opisują co potwierdzisz danym kodem)
• wysłuchać dokładnie komunikaty głosowe, prezentowane gdy dzwoni do Ciebie automat z banku (ostrzegają one, by nie podawać nikomu PIN-ów, które za chwilę usłyszymy)

Analogiczne zasady dotyczą wiadomości e-mail, oszuści często wybierają także ten kanał komunikacji.