Ostatnie dni na rozliczenie PIT – uważaj na oszustów

Przełom kwietnia i maja to ostatnie dni na rozliczenie PIT dla osób fizycznych. Jeśli jesteś w grupie, którą to czeka, musisz szczególnie uważać na SMS-y oraz e-maile podszywające się pod urząd skarbowy!

Schemat prób wyłudzenia, które obserwujemy o tej porze co roku, jest niemal identyczny:

• wiadomość SMS o treści powiązanej z podatkami
  • nadawcą zazwyczaj jest zwykły numer
  • zdarzają się nadpisy przypominające zwroty „gov”, Finanse” lub „Podatki” w wariancie, który jeszcze nie został zablokowany odgórnie na podstawie zapisów Ustawy o zwalczaniu nadużyć w komunikacji elektronicznej
• dwa warianty wiadomości:
  • ostrzeżenie o niedopłacie podatku i potencjalnych konsekwencjach
  • informacja o czekającej na zwrot nadpłacie podatku
• link w treści SMS-a mogący prowadzić do strony z adresem do złudzenia przypominającym witryny rządowe
• strona docelowa w kolorystyce serwisów rządowych, z logowaniem możliwym wyłącznie przy użyciu konta bankowego

Zdarza się, że oszuści pozostawiają na swojej stronie wyszarzone opcje logowania przy użyciu Profilu Zaufanego, e-Dowodu, czy aplikacji mObywatel, dodając informację o problemach, czy awarii.

Choć dominującą metodą dotarcia do ofiar jest SMS, może się zdarzyć również kampania phishingowa „na rozliczenie PIT” wysyłana e-mailem. Poniżej przykład, który otrzymaliśmy od naszego czytelnika. Ty też możesz pomóc innym! Jeśli dostaniesz wiadomość, która wydaje Ci się podejrzana – kliknij przycisk „Zgłoś zagrożenie” na górze strony i prześlij ją do nas.

Opisany dalej schemat działania jest identyczny w obu sytuacjach.

Pomyśl zanim cokolwiek potwierdzisz – scenariusz oszustwa

Strona na którą trafiamy, jest oczywiście fałszywa i wyłudza dostęp do bankowości elektronicznej. Po wpisaniu danych logowania do banku trafiają one bezpośrednio do rąk oszusta. Przy tego typu kampaniach przestępcy siedzą przy komputerze i na bieżąco zajmują się wpisanymi na swojej stronie danymi. Dlaczego?

Jeśli regularnie logujesz się do banku, masz zapewne świadomość, że jeśli robisz to przez stronę – musisz potwierdzić komunikat push w aplikacji mobilnej lub wpisać kod z SMS-a. To efekt wprowadzenia 7 lat temu dyrektywy PSD2, która m.in. zobowiązuje banki do używania dodatkowego składnika przy potwierdzaniu tożsamości klienta.

Przestępca nie zaloguje się więc do banku dysponując wyłącznie Twoim hasłem. Potrzebuje kliknięcia zgody w komunikacie push lub podania mu kodu z SMS-a. Musi to zrobić od razu – jeśli dostaniesz kod SMS później, nie będzie gdzie go wpisać, a przychodzący nagle komunikat push może sprawić, że zorientujesz się, iż masz do czynienia z oszustwem.

Jak nie dać się oszukać?

Zawsze stosuj zasadę ograniczonego zaufania jeśli chodzi o SMS-y oraz e-maile:

• od nieznajomych
• z linkami
• zawierające treści wywołujące w Tobie silne emocje (w tym przypadku związane z potencjalnymi konsekwencjami finansowymi)

Tego typu wiadomości traktuj z założenia jako fałszywe.

Jeśli wiesz, że chcesz wejść na stronę rządową – czy chodzi o rozliczenie PIT, czy w jakiejkolwiek innej sprawie – to nawet jeśli przypomina ona szatą graficzną znane Ci serwisy, sprawdź dokładnie adres w pasku przeglądarki.

• pamiętaj, że adresy serwisów rządowych kończą się na .gov.pl
  • zachowaj ostrożność przy adresach udających strony finansowe (hxxp://inforach24[.]net – przykład z 2022 roku)
  • bądź czujny/a i nie daj się oszukać próbom podszycia pod serwisy rządowe (hxxps://finansowa-gov-pl[.]online, hxxps://govpl[.]website – przykłady z 2023)

Nabierz nawyku sprawdzania adresu strony, na której wpisujesz login i hasło do banku. Zapamiętaj go i podawaj te dane wyłącznie na stronie Twojego banku.

Przypominamy raz jeszcze: adresy stron logowania do serwisów rządowych zawsze kończą się na .gov.pl. Przykładowo:

• login.mf.gov.pl (logowanie do serwisu e-PIT)
• login.mobywatel.gov.pl
• login.gov.pl

Jeśli logujesz się do serwisów rządowych za pośrednictwem e-bankowości, zawsze zostajesz przekierowany/a na stronę Twojego banku – upewnij się, sprawdzając adres.

Nie zaszkodzi też dodać witryny Twojego banku do ulubionych w przeglądarce – choć akurat w przypadku tego oszustwa to nie zadziała. Do serwisów rządowych najlepiej loguj się przy użyciu aplikacji mObywatel. To ograniczy możliwość podszycia, a w przypadku, gdy strona nie będzie dawać takiej możliwości – będziesz mieć pewność, że to oszustwo.

A w międzyczasie CyberTarcza Orange trzyma rękę na pulsie. Jeśli masz telefon w sieci Orange – robimy wszystko, by rozpoznane złośliwe SMS-y do Ciebie nie dotarły. A niezależnie od tego: blokujemy domeny powiązane z oszustwami.