SMS Urzad.pl o zaległości podatkowej – czy to oszustwo?

SMS z nadawcą „Urzad.pl”, „e-Urzad.pl” lub „MyGOV” informuje o rzekomej zaległości podatkowej? Może prowadzić do kradzieży dostępu do banku. CERT Orange Polska, zespół bezpieczeństwa i reagowania na incydenty działający w Orange Polska, ostrzegł 14 października 2026 r. przed kampanią prowadzącą na podrobiony e-Urząd Skarbowy, a następnie na fałszywą stronę banku. Nie klikaj linku z SMS-a. Swoje sprawy podatkowe sprawdź po samodzielnym otwarciu oficjalnego e-Urzędu Skarbowego na podatki.gov.pl. Jeśli wpisałeś hasło do banku lub zatwierdziłeś logowanie, natychmiast skontaktuj się z bankiem.

Jak wygląda SMS od Urzad.pl o zaległości podatkowej

W ostrzeżeniu z 14 października CERT Orange Polska wymienia nadawców „Urzad.pl”, „Urzad-pl”, „e-Urzad”, „e-Urzad.pl”, „Urzad”, „MyGOV” i „TKINFO”. Wiadomości wykorzystują pretekst zaległości podatkowej, aby skierować odbiorcę do podstawionej witryny.

Przykład poglądowy — nie jest cytatem z przechwyconego SMS-a:

„Urzad.pl: Wykryto zaległość podatkową. Sprawdź szczegóły sprawy pod wskazanym linkiem”.

Nie oceniaj wiadomości wyłącznie po nazwie nadawcy. Właśnie takie nazwy są elementem oszustwa.

Co zdradza fałszywy e-Urząd Skarbowy i bank

• Adres spoza gov.pl. Badacze CERT Orange Polska wskazali stronę eurzad.eu.cc, która naśladowała serwis podatkowy. Nie jest to adres administracji skarbowej.
• Wybór banku po wejściu w sprawę podatkową. Niezależnie od wybranej na stronie metody logowania użytkownik jest kierowany do listy banków.
• Podstawiona strona logowania. Po wskazaniu banku pojawia się jego imitacja żądająca loginu i hasła.
• Potwierdzenie kolejnego etapu logowania. Przestępcy próbują też nakłonić ofiarę do zaakceptowania drugiego składnika uwierzytelniania, np. potwierdzenia logowania w aplikacji banku.

To mechanizm smishingu, czyli phishingu przez SMS: wiadomość od rzekomego urzędu ma doprowadzić do wpisania danych bankowych na podstawionej stronie.

Dostałeś SMS o zaległym podatku? Tak sprawdź sprawę

Nie otwieraj linku ani nie wybieraj banku na stronie, do której prowadzi. Otwórz samodzielnie podatki.gov.pl i przejdź do e-Urzędu Skarbowego. KAS wskazuje, że nadpłatę lub niedopłatę wynikającą z rozliczenia rocznego można tam sprawdzić albo wyjaśnić w urzędzie skarbowym.

Podejrzany SMS przekaż do CERT Polska na numer 8080, zachowując oryginalną treść. Stronę podszywającą się pod urząd możesz zgłosić przez incydent.cert.pl. Wcześniejszą kampanię podszywającą się pod e-Urząd Skarbowy, ale obiecującą zwrot pieniędzy, opisaliśmy w materiale o fałszywym zwrocie podatku i wyłudzaniu danych.

Kliknąłeś link, wpisałeś hasło albo zatwierdziłeś logowanie?

Jeśli otworzyłeś tylko witrynę eurzad.eu.cc lub podobną i nic nie wpisałeś, zamknij kartę. Nie wybieraj banku ani nie potwierdzaj żadnych żądań logowania.

Jeśli wpisałeś login lub hasło do banku albo zatwierdziłeś logowanie w aplikacji, niezwłocznie zadzwoń do swojego banku. Wybierz numer z jego oficjalnej witryny albo wydrukowany na karcie — nie z podejrzanego SMS-a. Zmień ujawnione hasło i włącz weryfikację dwuetapową.

Nieautoryzowaną transakcję zgłoś bankowi, a kradzież środków także Policji. Podejrzaną stronę zgłoś przez incydent.cert.pl, a podejrzany SMS przekaż na 8080.

Czego nie robić po SMS-ie Urzad.pl

Nie wracaj na stronę z wiadomości, żeby sprawdzać status zadłużenia. Nie wpisuj drugi raz hasła do banku na ekranie otwartym z SMS-a i nie zatwierdzaj powiadomienia w aplikacji bankowej, jeśli sam nie rozpocząłeś logowania.

Wcześniejsze oszustwa ze zwrotem podatku i podszyciem pod KAS wykorzystywały obietnicę pieniędzy. W ostrzeżeniu CERT Orange Polska z października 2026 r. przynętą jest zaległość podatkowa, a celem — dostęp do bankowości.