[AKTUALIZACJA] Zatwierdź zwrot podatku w systemie PUESC – to oszustwo!

Przestępcy korzystają z trwającego okresu zwracania nadpłaty podatku aby prowadzić kampanie phishingowe. W fałszywych wiadomościach e-mail podszywają się pod administrację skarbową, by wyłudzić dane osobowe, numer PESEL, dane karty płatniczej, a nawet dostęp do bankowości.

Taki przykład wykrył jeden z analityków CERT Orange Polska – Mateusz Jaworski. Złośliwa domena jak została już zablokowana w Cybertarczy Orange.

Jak działa oszustwo na zwrot podatku?

Oszuści rozsyłają e-maile, wykorzystując metodę spoofingu. Ta technika pozwala na podszywanie się pod nadawcę. W efekcie ofiara w polu nadawcy zobaczy „hanna@podatki[.]gov.pl” mimo, że wiadomość nie pochodzi od tego nadawcy.

Temat wiadomości brzmi „PILNE: Zatwierdź zwrot podatku w systemie PUESC {Noreply} #722423155”.

Słowo „PILNE”, indywidualny numer sprawy i pozornie wiarygodny adres nadawcy mają skłonić odbiorcę do szybkiego działania i przede wszystkim uśpić czujność.

Szanowna Pani / Sza​nowny Panie,

Na podstawie art. 75 § 2 Ordynacji podatkowej, po dokonaniu rocznego rozliczenia podatku dochodowego za rok 2025, w Pani/Pana sprawie stwierdzono nadpłatę podlegającą zwrotowi. Zgodnie z przepisami, wypłata środków nastąpi wyłącznie po potwierdzeniu numeru rachunku bankowego w systemie e-Urząd Skarbowy.

Co się dzieje po kliknięciu w przycisk „PRZEJDŹ DO E-URZĘDU SKARBOWEGO”?

Link prowadzi do adresu: f3n.podagov[.]com/home/jm93h98sf8b/?id=797917369.

To fałszywa strona podszywająca się pod serwis podatki.gov.pl. Po wejściu na stronę ofiara przechodzi przez kolejne etapy rzekomej „weryfikacji”:
1. podania numeru PESEL,
2. wpisania „numeru podatkowego” i hasła,
3. uzupełnienie danych kontaktów.

Oczywiście wystarczy wpisanie dowolnych danych, aby przejść do kolejnego etapu „weryfikacji”. A w nim prośba o podanie takich danych jak: imię, nazwisko, adres e-mail oraz nr telefonu komórkowego.

Trzecim etapem jest wybór metody zwrotu, do wyboru mamy dwie możliwości. Pierwsza z nich to przelew na rachunek bankowy. Ten mechanizm ma za zadanie wyłudzić dostęp do konta bankowego. Warto zwrócić uwagę, że do wyboru jest tylko PKO Bank Polski. Przy pozostałych bankach widnieje komunikat „Min PLN 3.000,00” sugerujący, że kwota zwrotu jest zbyt niska aby skorzystać z tej metody. Alternatywną metodą jest zwrot na kartę, gdzie oszuści wyłudzają jej dane.

Co możesz stracić ?

Etap „weryfikacji” wyłudza dużo danych. Na kolejnych etapach oszuści zbierają nr PESEL, imię, nazwisko, adres e-mail, nr telefonu komórkowego. Mogą one posłużyć do kradzieży tożsamości, a w jej wyniku do dalszych prób oszustwa i wyłudzeń. Karta w niektórych, przypadkach może pominąć tzw. 3D-Secure i zostać obciążona bez naszej wiedzy.

Jak rozpoznać oszustwo ?

Wszędzie tam, gdzie podajesz jakiekolwiek dane, zweryfikuj stronę zanim to zrobisz.
Adres e-mail nadawcy i sama wiadomość jest spreparowana z dbałością o detale.
W tym przypadku sygnały ostrzegawcze to przede wszystkim:

• fałszywa domena podagov[.]com, która nie jest oficjalną domeną administracji,
• presja czasu w temacie wiadomości,
• prośba o podanie wielu wrażliwych danych,
• nieklikalne lub pozorne elementy strony, które mają tylko uwiarygodnić formularz.

Do załatwienia spraw urzędowych online korzystaj ze strony podatki.gov.pl

Co jeśli znajdziesz w swojej skrzynce taką wiadomość ?

O ile nie zostały uzupełnione dane osobowe – nic. Cybertarcza Orange zablokowała już tę domenę a nasze systemy śledzą czy oszuści próbują odtworzyć podobne schematy.

Jeśli jednak podałeś jakiekolwiek dane, należy pilnie:

• skontaktować się z bankiem,
• zastrzec kartę,
• obserwować historię rachunku,
• zmienić hasła podane na tej stronie.

Chociaż jest jeszcze coś, zgłoś do nas taki sam lub podobny e-mail, klikając w „Zgłoś zagrożenie” na stronie cert.orange.pl.

Przed takim scenariuszem, ostrzegaliśmy już w lutym i kwietniu bieżącego roku. Wszystko wskazuje na to, że będziemy musieli zrobić to samo w następnym roku.

[AKTUALIZACJA]

Dostajemy sygnały o kolejnej wysyłce wiadomości SMS przez przestępców do polskich użytkowników. Prowadzą one pod inne domeny (już zablokowane w Cybertarczy Orange), na których znajdował się opisywany wczoraj panel.

15387 Godlo Polski podatki: Zwrot podatku jest dostepny. Potwierdz swoje dane, aby otrzymac platnosc bez opoznien: http://ptrs[.]me/dvMazB

357751 Godlo Polski podatki: Zwrot podatku jest dostepny. Potwierdz swoje dane, aby otrzymac platnosc bez opoznien: http://podanow[.]com