Trwa gorący okres rozliczeń podatkowych, który dla milionów Polaków oznacza konieczność zalogowania się do serwisów administracji skarbowej. Niestety, jest to również czas wzmożonej aktywności cyberprzestępców. Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa, Krzysztof Gawkowski, wydał oficjalne ostrzeżenie przed falą fałszywych wiadomości, które mają na celu przejęcie danych do Profilu Zaufanego oraz środków zgromadzonych na kontach bankowych.
W okresie poprzedzającym terminy składania deklaracji CIT (31 marca) oraz PIT (30 kwietnia), oszuści wykorzystują przedświąteczną nieuwagę oraz stres związany z formalnościami. Mechanizm ataku jest dopracowany i niezwykle niebezpieczny, dlatego kluczowe jest zachowanie szczególnej ostrożności podczas korzystania z e-usług publicznych w 2026 roku.
Jak działają oszuści? Nowy schemat ataku na e-Urząd Skarbowy
Najpopularniejszy obecnie schemat ataku opiera się na podszywaniu się pod Krajową Administrację Skarbową (KAS). Użytkownicy otrzymują wiadomości e-mail lub SMS informujące o rzekomej „nowej notyfikacji” czekającej w e-Urzędzie Skarbowym. Wiadomość zawiera link, który prowadzi do strony łudząco przypominającej oficjalny portal rządowy.
To właśnie na tej fałszywej stronie znajduje się formularz logowania do Profilu Zaufanego. Wpisanie tam loginu i hasła oznacza przekazanie pełnego dostępu do Twojej tożsamości cyfrowej w ręce przestępców. Profil Zaufany w 2026 roku jest kluczem do niemal każdej sfery życia – od dokumentacji medycznej, przez dane w ZUS, aż po e-Doręczenia. Przejęcie tego dostępu pozwala oszustom na zaciąganie zobowiązań, zmianę rachunku bankowego do zwrotu podatku czy kradzież środków z konta.
KSeF i „błędy w fakturach” – nowe zagrożenie dla przedsiębiorców
Wdrożenie Krajowego Systemu e-Faktur (KSeF) stało się nowym narzędziem w rękach cyberprzestępców. Przedsiębiorcy otrzymują wiadomości o „błędzie w wysyłce faktury” lub „konieczności pilnej aktualizacji certyfikatu KSeF”. Pod presją czasu, wielu przedsiębiorców klika w linki prowadzące do fałszywych paneli logowania.
Warto zapamiętać jedną, kluczową zasadę: KSeF nie wysyła linków do logowania w wiadomościach e-mail ani SMS. Wszystkie operacje związane z e-fakturami powinny być wykonywane wyłącznie wewnątrz bezpiecznych systemów księgowych lub po samodzielnym wpisaniu adresu strony Ministerstwa Finansów w pasku przeglądarki.
Jak rozpoznać fałszywy komunikat?
Współczesny phishing jest bardzo zaawansowany graficznie. Aby nie dać się nabrać, należy zwrócić uwagę na kilka technicznych detali:
- Domena strony: Oficjalne serwisy administracji rządowej zawsze kończą się na .gov.pl. Każda inna końcówka (np. .net, .info, .com) jest dowodem na oszustwo.
- Język komunikacji: Urzędy nie używają języka nakazowego, typu „zrób to teraz albo stracisz dostęp”. Oficjalna korespondencja jest zawsze stonowana i sformalizowana.
- Źródło powiadomienia: Jeśli otrzymujesz powiadomienie o e-Doręczeniu na prywatny adres e-mail, zachowaj czujność. Prawdziwe e-Doręczenie wymaga zalogowania się do bezpiecznego węzła krajowego.
Co zrobić, jeśli Twoje dane wyciekły?
Jeśli przez nieuwagę podałeś swoje dane na podejrzanej stronie, działaj natychmiast, aby zminimalizować straty:
- Zmień hasło: Wejdź bezpośrednio na stronę profil.zaufany.gov.pl i ustaw nowe, silne hasło.
- Wyloguj sesje: W panelu Profilu Zaufanego sprawdź aktywność i wyloguj wszystkie podejrzane sesje.
- Poinformuj bank: Jeśli do logowania w urzędach używasz bankowości elektronicznej, niezwłocznie powiadom swój bank o wycieku danych.
- Zastrzeż PESEL: W aplikacji mObywatel 2.0 błyskawicznie zastrzeż swój numer PESEL, co zablokuje możliwość zaciągnięcia kredytu na Twoje nazwisko.
- Zgłoś incydent: Poinformuj zespół CERT Polska (pod numerem 8080 lub na stronie cert.pl).
Bezpieczeństwo w sieci w 2026 roku zależy przede wszystkim od Twoich nawyków. Zawsze wpisuj adresy stron rządowych ręcznie w przeglądarce i korzystaj z zaufanych aplikacji, takich jak mObywatel, zamiast klikać w linki zawarte w wiadomościach.
