Zwrot podatku z e-Urzędu Skarbowego: czy to oszustwo?

CERT Polska ostrzegł 11 września 2026 r. przed wiadomościami obiecującymi zwrot nadpłaconego podatku. Link kieruje na fałszywą stronę e-Urzędu Skarbowego, gdzie oszuści próbują zdobyć dane logowania, PESEL oraz informacje o karcie płatniczej. Jeśli dostałeś taką wiadomość, nie korzystaj z linku. Sprawdź rozliczenie po samodzielnym wpisaniu adresu podatki.gov.pl.

Jak wygląda wiadomość o zwrocie podatku

Przynętą jest informacja, że czeka na Ciebie nadpłata podatku. Odbiorca ma przejść do rzekomego e-Urzędu Skarbowego i podać dane potrzebne do odebrania pieniędzy. CERT Polska opisuje tę kampanię w ostrzeżeniu z 11 września.

Przykład poglądowy, nie cytat z przechwyconej wiadomości:

„Masz nadpłatę podatku do zwrotu. Aby odebrać pieniądze, przejdź do e-Urzędu Skarbowego i potwierdź swoje dane”.

Oszustwo nie kończy się na obietnicy zwrotu: podstawiona strona może przypominać portal podatkowy, ale jej formularz zbiera informacje dla przestępców. Zwróć uwagę zwłaszcza na żądanie danych karty przy rzekomym odbiorze pieniędzy.

Co zdradza fałszywy e-Urząd Skarbowy

• Obietnica nadpłaty przychodzi w wiadomości z linkiem, zamiast pojawić się po Twoim samodzielnym zalogowaniu do usługi.
• Adres strony różni się od prawdziwego serwisu, chociaż wygląd formularza i nazwa e-Urzędu Skarbowego mogą budzić zaufanie.
• Formularz zbiera PESEL i dane osobowe pod pretekstem wypłaty zwrotu. CERT Polska ostrzega również przed wyłudzaniem danych logowania w tej kampanii.
• Strona prosi o dane karty płatniczej pod pretekstem przekazania zwrotu.

PHISHLY opisywało już wcześniejsze fałszywe zwroty podatku KAS. Wrześniowe ostrzeżenie CERT Polska potwierdza kolejny przypadek tego samego rodzaju przynęty.

Co zrobić, jeśli dostałeś taką wiadomość

Nie otwieraj podanego adresu ani nie odpowiadaj nadawcy. Otwórz nową kartę przeglądarki, wpisz podatki.gov.pl, przejdź do e-Urzędu Skarbowego i sprawdź swoje rozliczenie oraz ewentualny zwrot.

Zachowaj wiadomość lub zrzut ekranu i zgłoś ją przez incydent.cert.pl albo usługę „Bezpiecznie w sieci” w aplikacji mObywatel. Jeśli wiadomość o rzekomym zwrocie podatku dotarła na służbową skrzynkę, zgłoś ją także firmowemu zespołowi IT lub bezpieczeństwa.

Podałeś PESEL lub dane logowania na fałszywej stronie zwrotu podatku?

Gdy link z wiadomości o nadpłacie otworzył tylko formularz, zamknij go bez wpisywania danych. Jeśli podałeś dane logowania, zabezpiecz tę metodę logowania, której dane ujawniłeś — na przykład konto bankowe lub profil zaufany — korzystając bezpośrednio z jej prawdziwej strony albo aplikacji. Zmień ujawnione hasło tam, gdzie jest używane, i sprawdź inne konta, w których używasz tego samego hasła. e-Urząd Skarbowy umożliwia kilka metod logowania; samo ostrzeżenie CERT Polska nie wskazuje, którą metodę przejmowali oszuści.

Po przekazaniu PESEL-u rozważ zastrzeżenie numeru w mObywatelu lub przez gov.pl. Po podaniu danych karty natychmiast skontaktuj się z bankiem przez oficjalną infolinię i poproś o zastrzeżenie karty; UOKiK zaleca również zgłoszenie bankowi nieautoryzowanych transakcji. Sprawdź historię operacji na rachunku — zaleca to rządowy poradnik o bezpiecznych płatnościach kartą. Zgłoś formularz i wiadomość przez incydent.cert.pl.

Czego nie robić

Nie wracaj na podstawioną stronę, by „dokończyć” zwrot. Nie wpisuj ponownie numeru PESEL, danych logowania ani danych karty i nie traktuj urzędowego wyglądu formularza jako dowodu autentyczności. Sprawy podatkowe sprawdzaj po wejściu na podatki.gov.pl z własnej zakładki lub po ręcznym wpisaniu adresu.

To odmiana phishingu, czyli wyłudzania danych przez podszywanie się pod zaufaną instytucję. Podobny urzędowy pretekst pojawił się również w fałszywym e-mailu KAS o rozbieżnościach podatkowych, gdzie przynętą był nie link do zwrotu, lecz załącznik.