ScamShield
Menu
Poradnik

Fałszywe maile od KAS — błędy w JPK_VAT i „raport z urzędu”

E-mail od KAS o błędzie w JPK_VAT albo rozliczeniu podatkowym? Sprawdź, czego urząd nie robi w poczcie i jak nie oddać haseł ani dostępu do komputera.

Fałszywe maile od KAS — błędy w JPK_VAT i „raport z urzędu”

Autor: Redakcja ScamShield
Opublikowano:

Czas czytania: ok. 4 min

Jak działa oszustwo na KAS i JPK_VAT

Do skrzynki wpada e-mail „z urzędu”: automat wykrył rozbieżność w JPK_VAT, w rozliczeniu jest błąd, trzeba natychmiast zobaczyć raport. Nadawca podszywa się pod Krajową Administrację Skarbową albo Ministerstwo Finansów. Presja jest celowa — podatek kojarzy się z terminem i karą, więc link albo załącznik otwiera się zanim sprawdzisz adres.

KAS i Ministerstwo Finansów ostrzegają wprost: powiadomienia dotyczące JPK_VAT wysyłane przez Krajową Administrację Skarbową nie mają w treści żadnych klikalnych linków. Nie zawierają też prośby o logowanie do jakiegokolwiek systemu. Jeśli mail każe się zalogować albo otworzyć „raport” — to nie jest urząd.

Cel bywa dwojaki. Albo hasło do poczty i dane osobowe, albo złośliwy plik, który otwiera atakującemu zdalny dostęp do komputera. Hasło do skrzynki daje potem reset innych kont, w tym bankowych. To nie jest ten sam scenariusz co fałszywy e-mail od banku, ale dalsze kroki po wycieku logowania są podobne.

Wariant z linkiem do „poczty”

CERT Polska opisuje kampanię, w której e-mail straszy rozbieżnościami wykrytymi przy automatycznej weryfikacji pliku JPK_VAT. Odnośnik prowadzi na stronę udającą panel logowania do poczty elektronicznej. KAS dodaje, że po kliknięciu serwis może żądać danych osobowych, numeru konta, adresu i hasła do e-maila.

Urząd nie potrzebuje hasła do Twojej prywatnej ani firmowej skrzynki, żeby rozliczyć JPK. Jeśli „portal KAS” prosi o login do Gmaila, Outlooka albo poczty firmowej — zamykasz kartę.

Wariant z załącznikiem i zdalnym dostępem

Druga kampania CERT idzie bez przycisku. W wiadomości jest „raport o wykrytych rozbieżnościach” w załączniku. Otwarcie pliku instaluje oprogramowanie z rodziny Remcos: atakujący dostaje zdalny dostęp do urządzenia i danych, które na nim są.

Nie otwieraj załącznika z nieoczekiwanego maila o podatku, dopóki nie potwierdzisz nadawcy poza tą wiadomością. Ten sam chwyt — pilny dokument w pliku — oszuści stosują w mailach kurierskich i w phishingu bankowym z Excelem.

Jak rozpoznać fałszywą wiadomość „z urzędu”

Oficjalna zasada KAS jest prostsza niż analiza każdej czcionki: powiadomienie o JPK_VAT nie zawiera linku i nie prosi o logowanie. Reszta to weryfikacja nadawcy i kanału, którego używasz Ty — nie oszust.

Czego KAS nie robi w e-mailu

  • Nie wstawia klikalnych odnośników w powiadomieniu o JPK_VAT.
  • Nie prosi o logowanie do poczty, „e-bramki” ani „weryfikacji tożsamości” przez link z maila.
  • Nie wysyła hasła do rozliczenia w załączniku .xls, .zip albo „raporcie do pobrania”.
  • Nie żąda numeru konta i hasła do skrzynki, żeby „wypłacić nadpłatę” albo „skorygować JPK”.

Presja podatkowa

„Automat wykrył błąd”, „masz 24 godziny”, „unikniesz konsekwencji, jeśli klikniesz teraz”. To ten sam mechanizm co w mailu bankowym: mało czasu, dużo strachu. Prawdziwą sprawę podatkową sprawdzisz w urzędzie skarbowym albo na infolinii KAS — 22 330 03 30 — a nie na stronie, na którą zrzucił Cię odnośnik.

Co zrobić po takim e-mailu

Nie klikaj linku. Nie otwieraj załącznika. Nie wpisuj hasła do poczty ani danych firmy na stronie z wiadomości. Samo otrzymanie maila nic nie uruchamia.

Jak potwierdzić sprawę

  • Zadzwoń na infolinię KAS: 22 330 03 30. To numer podany przez KAS w oficjalnym ostrzeżeniu.
  • Albo skontaktuj się ze swoim urzędem skarbowym kanałem, który znasz — nie numerem z maila.
  • Sprawy podatkowe możesz też sprawdzić w e-Urzędzie Skarbowym na podatki.gov.pl, wchodząc na stronę samodzielnie, nie z odnośnika.
  • Podejrzaną wiadomość zgłoś na incydent.cert.pl albo w usłudze „Bezpiecznie w sieci” w aplikacji mObywatel.

Jeśli otworzyłeś załącznik albo podałeś dane

Hasło do poczty: zmień je z innego urządzenia i traktuj skrzynkę jako źródło resetu innych kont. Jeśli to samo hasło było w banku — zabezpiecz bankowość według FAQ o danych logowania. Dane osobowe albo numer konta: obserwuj rachunki, rozważ zastrzeżenie PESEL i złóż zawiadomienie na Policji.

Otwarty załącznik albo program do zdalnego dostępu: nie loguj się z tego komputera do banku ani e-US. Odłącz urządzenie od sieci, jeśli możesz, i zobacz FAQ o instalacji aplikacji. Numer 112 — tylko przy nagłej potrzebie interwencji służb.

Źródła

Materiały publiczne, z których korzystaliśmy przy tym poradniku.