Fałszywe e-maile z urzędu skarbowego. Oszuści wyłudzają dane i opróżniają konta

W ostatnich tygodniach obserwujemy rosnącą falę cyberprzestępstw opartych na podszywaniu się pod niemiecki Federalny Urząd Skarbowy (BZSt). Oszuści wysyłają sfałszowane wiadomości e-mail, które na pierwszy rzut oka wyglądają jak oficjalna korespondencja fiskusa. Jednak jedno kliknięcie w zawarty w nich link lub otwarcie załącznika może skutkować utratą pieniędzy lub przejęciem danych osobowych.

Nowa metoda: profesjonalne podszycie pod niemiecki fiskus

Przestępcy wykorzystują fałszywe adresy e-mail, takie jak „info@bzst-zahlungsfrist.com” lub „news@bzst-infos.de”, które mają imitować oficjalne domeny urzędu. W niektórych przypadkach używają nawet adresu „bzst.bund.de”, czyli autentycznej domeny rządowej. To znacząco utrudnia przeciętnemu użytkownikowi rozpoznanie oszustwa.

Celem tych wiadomości jest wzbudzenie zaufania oraz skłonienie ofiary do otwarcia załącznika PDF lub kliknięcia linku prowadzącego do spreparowanej strony internetowej. W załącznikach rzekomo znajdują się decyzje podatkowe, groźby grzywny lub informacje o zwrocie podatku.

W rzeczywistości dokumenty te zawierają złośliwe oprogramowanie, które może:

• zainfekować system operacyjny,
• przejąć dane logowania do bankowości elektronicznej,
• uzyskać dostęp do kont pocztowych lub kont firmowych,
• zainstalować programy szpiegujące.

Fałszywe strony internetowe – pułapka na dane

Według serwisu Ruhr24, cyberprzestępcy poszli o krok dalej i stworzyli profesjonalnie wyglądające strony internetowe, które często pojawiają się wysoko w wynikach wyszukiwania. Strony te mogą zawierać nawet mechanizm Google Captcha, co dodatkowo zwiększa ich wiarygodność w oczach ofiary.

Niestety, wprowadzenie na takiej stronie swoich danych bankowych – np. loginu, hasła, numeru karty – oznacza ich bezpośrednie przekazanie przestępcom. W efekcie może dojść do kradzieży środków z konta, czyszczenia rachunków bankowych lub zaciągnięcia zobowiązań finansowych na dane ofiary.

Stanowisko urzędu: fiskus nie wysyła e-maili z załącznikami

Federalny Urząd Skarbowy jednoznacznie odcina się od praktyki wysyłania wiadomości e-mail z załącznikami lub prośbą o podanie danych bankowych. Wszystkie oficjalne pisma są doręczane wyłącznie drogą pocztową lub przez zabezpieczony system Elster.

Co więcej, urząd nigdy nie grozi natychmiastowymi karami finansowymi, nie żąda szybkiej reakcji w ciągu kilku godzin i nie kieruje użytkowników do zewnętrznych serwisów.

Kluczowe elementy fałszywych wiadomości

Aby uchronić się przed oszustwem, warto zwracać uwagę na następujące sygnały ostrzegawcze:

• Nieprawidłowy adres e-mail – prawdziwe e-maile urzędowe pochodzą wyłącznie z domeny bzst.de, bez dodatkowych końcówek.
• Błędy językowe – oficjalna korespondencja nie zawiera literówek ani kolokwializmów.
• Obecność załączników – urząd nie wysyła plików PDF do osób prywatnych bez wcześniejszego kontaktu.
• Groźby i presja – wiadomości zawierające ultimatum, np. „opłać w ciągu 12 godzin”, są niemal zawsze próbą oszustwa.
• Linki do stron spoza domeny urzędowej – np. kończące się na .com, .info, .site – to typowa cecha kampanii phishingowej.

Jak się bronić przed phishingiem podatkowym?

W razie otrzymania podejrzanej wiadomości warto zastosować następujące środki ostrożności:

1. Nie otwieraj załączników ani nie klikaj w linki bez uprzedniego sprawdzenia adresu nadawcy.
2. Sprawdź domenę e-maila – adres kończący się na „.de” nie gwarantuje autentyczności, jeśli zawiera dodatkowe człony jak „zahlungsfrist”.
3. Zgłoś podejrzenie oszustwa do lokalnego urzędu skarbowego lub policji.
4. Skorzystaj z portalu Elster – to jedyna bezpieczna droga kontaktu z niemieckim urzędem skarbowym.
5. Ustaw uwierzytelnianie dwuskładnikowe w bankowości elektronicznej oraz korzystaj z aktualnego oprogramowania antywirusowego.

Perspektywa: phishing podatkowy jako długofalowe zagrożenie

Ataki podszywające się pod urzędy skarbowe są szczególnie niebezpieczne, ponieważ wykorzystują zaufanie społeczne do instytucji państwowych. E-maile udające korespondencję z urzędów mają znacznie większą skuteczność niż zwykły spam, a ich profesjonalne przygotowanie (np. użycie prawdziwych domen) sprawia, że nawet świadomi użytkownicy mogą się nabrać.

Według ekspertów, tego rodzaju kampanie będą się nasilać szczególnie w okresie rozliczeń podatkowych, kiedy obywatele oczekują decyzji lub zwrotów podatku.

W najbliższych miesiącach organy podatkowe i służby cyberbezpieczeństwa będą musiały zintensyfikować działania edukacyjne i ostrzegawcze. Kluczowe znaczenie może mieć także współpraca z firmami hostingowymi i operatorami domen, aby szybciej blokować strony phishingowe oraz skrzynki e-mail wykorzystywane przez przestępców.