Pilny komunikat z CERT. Polacy masowo znajdują wiadomość w skrzynkach

CERT Orange Polska ostrzega przed kolejną falą oszustw, która wraca regularnie od miesięcy. Przy okazji wcześniejszych akcji, przed oszustwem ostrzegała Krajowa Administracja Skarbowa. Schemat działa tak samo niezależnie od tego, do którego urzędu skarbowego jesteś przypisany – również podatnicy rozliczający się w warszawskich urzędach mogą trafić na tę samą wiadomość. Tym razem celem przestępców są dane karty płatniczej.

Fot. PerfectWave / Shutterstock.

Wiadomość wygląda jak realny zwrot nadpłaty z Urzędu Skarbowego

Oszuści rozsyłają e-maile tak spreparowane, by w polu nadawcy wyświetlał się adres przypominający domenę podatki.gov.pl – dzięki technice podszywania się pod nadawcę wiadomość na pierwszy rzut oka sprawia wrażenie, jakby faktycznie pochodziła z administracji skarbowej. Sam temat wiadomości sugeruje, iż czeka na odbiorcę zwrot nadpłaconego podatku. To celowy zabieg socjotechniczny – na co dzień jesteśmy czujni, gdy ktoś prosi nas o zapłatę, ale znacznie łatwiej dajemy się przekonać, gdy komunikat obiecuje wypłatę pieniędzy w naszą stronę.

Kliknięcie linku w wiadomości przenosi ofiarę na stronę, która wizualnie niemal wiernie kopiuje prawdziwą witrynę rządową – te same kolory, układ i elementy graficzne, jakie kojarzymy z oficjalnymi serwisami administracji skarbowej. Jedynym realnym tropem zdradzającym oszustwo pozostaje sam adres strony internetowej. W kampanii opisanej przez CERT Orange fragment adresu sugerował powiązanie z rozliczeniem podatku, jednak dalsza część domeny prowadziła do witryny należącej pierwotnie do rumuńskiej przychodni weterynaryjnej – przestępcy najwyraźniej przejęli nad nią kontrolę i wykorzystali ją jako techniczne zaplecze dla fałszywej strony. To pokazuje, iż sama zgodność wyglądu strony z oczekiwaniami nie świadczy o niczym – liczy się wyłącznie dokładny adres w pasku przeglądarki.

Fot. CERT Orange Polska

Ostatni krok to prośba o dane karty płatniczej

Po przejściu przez kolejne etapy fałszywego formularza ofiara trafia na ekran z prośbą o podanie danych karty płatniczej – w narracji oszustów rzekomo po to, żeby urząd mógł przelać na nią należną nadpłatę. W rzeczywistości podane w ten sposób dane karty, wraz z numerem, datą ważności i kodem CVV, trafiają prosto do przestępców, którzy wykorzystują je do zakupu kryptowalut albo towarów łatwych do szybkiej odsprzedaży, na przykład sprzętu elektronicznego. Żaden prawdziwy zwrot podatku nie wymaga podawania numeru karty płatniczej – urząd skarbowy przelewa nadpłatę na rachunek bankowy wskazany wcześniej w zeznaniu podatkowym, bez pośrednictwa żadnej dodatkowej strony ani formularza.

To nie pierwsza taka kampania w tym roku

CERT Orange Polska po raz ostatni ostrzegał przed niemal identycznym schematem w maju – oszustwo na fałszywy zwrot podatku wraca cyklicznie, zwykle w okresach zwiększonej aktywności administracji skarbowej związanej z rozliczeniami rocznymi, choć jak pokazuje najnowsza kampania, przestępcy nie ograniczają się wyłącznie do sezonu składania PIT-ów. W tym roku podobne, choć technicznie odrębne kampanie phishingowe podszywały się też pod system PUESC, sugerując pilną konieczność zatwierdzenia zwrotu podatku – co potwierdza, iż sam pretekst zwrotu nadpłaty pozostaje jednym z ulubionych narzędzi przestępców niezależnie od tego, pod jaką konkretnie instytucję akurat się podszywają.

Jak sprawdzić wiadomość, zanim klikniesz?

Najpewniejszym sposobem weryfikacji jest nigdy nie klikać linku z podejrzanej wiadomości, tylko samodzielnie wpisać adres e-Urzędu Skarbowego w przeglądarce i sprawdzić tam, czy rzeczywiście widnieje jakakolwiek informacja o nadpłacie – jeżeli maila nie ma w oficjalnym systemie, żadna wiadomość e-mail tego nie zmieni. Zanim gdziekolwiek wpiszesz swoje dane, warto też zerknąć na pełny adres strony w pasku przeglądarki, a nie tylko na jej wygląd – prawdziwa domena administracji skarbowej zawsze kończy się na gov.pl, a jakikolwiek inny człon na końcu adresu, choćby jeżeli na początku pojawia się słowo kojarzące się z podatkami, powinien od razu wzbudzić podejrzenia. Każdą wiadomość, która naciska na szybkie działanie, grozi utratą zwrotu albo prosi o podanie numeru karty płatniczej w zamian za rzekomą wypłatę pieniędzy, najbezpieczniej jest po prostu zignorować i usunąć, a w razie wątpliwości zgłosić na numer 8080, prowadzony przez CERT Polska do zgłaszania tego typu oszustw.