Fałszywy e-mail „z urzędu skarbowego” o nadpłacie podatku. Jak go rozpoznać w 15 sekund i co zrobić, gdy już kliknąłeś

Wtorek, 7:42. Kawa jeszcze parzy, a w skrzynce czeka mail, który brzmi jak muzyka: „Stwierdzono nadpłatę podatku. Kwota zwrotu: 1 284,60 zł. Potwierdź dane, aby otrzymać przelew”. Logo Ministerstwa Finansów, powołanie na przepisy, nawet rok podatkowy się zgadza. Brakuje tylko jednego: urząd skarbowy nigdy tego maila nie wysłał.

7 października 2026 r. Ministerstwo Finansów i Krajowa Administracja Skarbowa opublikowały na podatki.gov.pl ostrzeżenie przed taką właśnie falą wiadomości. Oszuści podszywają się pod eUrząd Skarbowy, KAS i MF, piszą o rzekomej nadpłacie wynikającej z „automatycznej weryfikacji deklaracji PIT” i zapraszają do „weryfikacji danych”. Ten poradnik pokazuje, jak rozpoznać taki mail w kilkanaście sekund, co zrobić, gdy już kliknąłeś, i gdzie sprawdzić, czy jakiś zwrot naprawdę na ciebie czeka.

Najważniejsze zdanie, które możesz zapamiętać

Ministerstwo podaje to wprost: MF i KAS nie wysyłają e-maili informujących o nadpłacie podatku i nakłaniających do potwierdzenia danych identyfikacyjnych lub numeru rachunku bankowego. Jeśli więc mail mówi „mamy dla ciebie pieniądze, podaj dane”, rozmowa jest skończona. Nie musisz analizować czcionek ani sprawdzać, czy logo jest krzywe. Sama prośba wystarcza za dowód.

Jak wygląda typowa wiadomość

Według MF oszuści dbają o pozory. W treści pojawiają się elementy, które mają uśpić czujność:

• powołanie na przepisy prawa,
• konkretna kwota nadpłaty, najlepiej nieokrągła, żeby wyglądała na wyliczoną,
• rok podatkowy,
• nazwa Ministerstwa Finansów albo eUrzędu Skarbowego.

Do tego link do „weryfikacji”. Prowadzi on na fałszywą stronę, która, jak opisuje resort, może żądać danych karty płatniczej, numeru PESEL lub NIP, danych rachunku, loginu i hasła albo potwierdzenia operacji w bankowości elektronicznej lub kodem SMS.

Zwróć uwagę na ten ostatni punkt. Kod SMS z banku nie służy do „odbioru zwrotu”. Służy do zatwierdzania operacji: przelewu, dodania urządzenia, zmiany limitu. Jeśli strona o „nadpłacie” prosi cię o kod, to nie ty dostajesz pieniądze, tylko ktoś właśnie próbuje je wyprowadzić.

Test 15 sekund: pięć pytań przed kliknięciem

1. Czy mail obiecuje pieniądze albo straszy karą i każe działać natychmiast? Pośpiech to ulubiona przyprawa oszustów.

2. Kto jest nadawcą? MF wskazuje, że wiadomość z eUrzędu powinna przyjść z adresu [email protected]. Sprawdź pełny adres, a nie tylko wyświetlaną nazwę „Ministerstwo Finansów”, bo tę każdy może sobie wpisać.

3. Dokąd prowadzi link? Najedź na niego kursorem (na telefonie przytrzymaj palec) i zobacz prawdziwy adres. Domena, która tylko przypomina podatki.gov.pl, to nie podatki.gov.pl.

4. O co prosi strona? Dane karty, PIN, hasło do banku, kod SMS: każde z nich to koniec zabawy.

5. Czy możesz to sprawdzić inną drogą? Prawie zawsze tak, o czym za chwilę.

Jeśli choć jedna odpowiedź budzi wątpliwość, nie klikaj. Zamknięcie maila nic cię nie kosztuje. Kliknięcie może.

Gdzie naprawdę sprawdzić zwrot podatku

Najprostsza zasada: nie wchodzisz do urzędu przez drzwi, które podał ci nieznajomy. Wpisz adres podatki.gov.pl ręcznie w przeglądarce albo otwórz aplikację mobilną eUrząd Skarbowy i zaloguj się tam wybraną metodą. Ministerstwo przypomina, że w eUrzędzie Skarbowym możesz śledzić status zwrotu podatku. Informacje o nadpłacie uzyskasz też w urzędzie skarbowym, umawiając wizytę po zalogowaniu do eUS albo przez serwis wizyta.podatki.gov.pl.

Masz wątpliwość, a nie chcesz się logować? Zadzwoń na infolinię KAS: 22 330 03 30. Ten sam numer podaje ministerstwo na wypadek, gdy ktoś telefonicznie przedstawia się jako pracownik urzędu skarbowego i żąda wrażliwych informacji.

Kliknąłem. Co teraz?

Bez paniki, ale i bez zwłoki. Kolejność ma znaczenie, bo przestępca też się spieszy.

Jeśli podałeś dane karty albo kod SMS: od razu zadzwoń do swojego banku na numer z karty lub oficjalnej strony i zastrzeż kartę, a jeśli trzeba, zablokuj dostęp do bankowości. Sprawdź, czy nie ma operacji, których nie zlecałeś.

Jeśli podałeś login i hasło do banku: zmień hasło, korzystając z oficjalnej aplikacji lub strony wpisanej ręcznie, i powiadom bank.

Jeśli podałeś PESEL lub dane z dowodu: zastanów się nad zastrzeżeniem numeru PESEL w aplikacji mObywatel lub w urzędzie gminy. To utrudnia wzięcie kredytu na twoje dane.

Jeśli tylko otworzyłeś mail i nic nie wpisałeś: usuń go i zgłoś jako phishing.

W każdym przypadku możesz zgłosić incydent do CERT Polska przez formularz na incydent.cert.pl. Ministerstwo w swoim komunikacie również zachęca do korzystania z platformy CERT do zgłaszania incydentów. Gdy straciłeś pieniądze, zgłoś sprawę na policję.

Dlaczego ten numer działa (i dlaczego właśnie teraz)

Nadpłata to idealna przynęta. Nie straszy, tylko cieszy, a człowiek, który się cieszy, czyta mniej uważnie. Kwota jest konkretna, ale nie gigantyczna, więc brzmi wiarygodnie. Odbiorca nie musi niczego płacić, ma tylko „potwierdzić dane”, co wydaje się drobiazgiem. A podatki to temat, w którym mało kto czuje się pewnie, więc oficjalny ton i paragrafy robią wrażenie.

Do tego fiskus naprawdę zwraca nadpłaty i naprawdę działa online. Oszust nie musi więc wymyślać nowej rzeczywistości, wystarczy, że podrobi istniejącą. To jak podrobiony bilet na prawdziwy koncert: wygląda dobrze właśnie dlatego, że koncert się odbędzie.

Mini-ściąga do przyklejenia na lodówkę

Zbuduj sobie nawyki, a nie tylko czujność

Czujność się męczy. Rano jesteś Sherlockiem, wieczorem, po dziesięciu godzinach pracy, klikasz w cokolwiek, co obiecuje pieniądze. Dlatego lepiej zrzucić część roboty na nawyki i ustawienia.

Po pierwsze, włącz dwuskładnikowe logowanie wszędzie, gdzie się da: w poczcie, w banku, w serwisach, które mają dostęp do twoich danych. Nawet jeśli ktoś wyłudzi hasło, sam login mu nie wystarczy.

Po drugie, nie zapisuj w przeglądarce danych karty „na wszelki wypadek”. Mniej danych pod ręką to mniej danych do ukradzenia.

Po trzecie, ustaw w banku powiadomienia o każdej transakcji. Szybko zauważysz operację, której nie robiłeś, a w przypadku oszustwa każda minuta się liczy.

Po czwarte, korzystaj z przycisku „zgłoś phishing” lub „zgłoś spam” w swojej poczcie. Filtr uczy się na takich zgłoszeniach, a ty pomagasz innym użytkownikom tej samej skrzynki.

Wreszcie: umów się z bliskimi na jedno hasło-klucz. Jeśli ktoś z rodziny dostanie „pilną sprawę z urzędu”, najpierw dzwoni do ciebie, potem klika. Brzmi staroświecko, ale telefon do zaufanej osoby zatrzymał więcej oszustw niż niejeden antywirus.

FAQ

Czy urząd skarbowy w ogóle wysyła e-maile?

Tak, eUrząd Skarbowy może się z tobą kontaktować, a MF wskazuje adres [email protected]. Różnica polega na tym, czego mail od ciebie chce. Prośba o dane karty, rachunku czy logowanie przez link to sygnał oszustwa.

Dostałem SMS, a nie mail. Czy zasady są te same?

Tak. Ministerstwo w swoim ostrzeżeniu traktuje SMS-y i telefony tak samo podejrzliwie jak maile i radzi wyjaśniać wątpliwości na infolinii KAS.

Rodzina dostaje takie maile. Jak im to wytłumaczyć?

Jednym zdaniem: „Urząd nie pisze, że ma dla ciebie pieniądze i prosi o dane. Jeśli coś takiego przyjdzie, zadzwoń do mnie albo na infolinię”. Tyle wystarczy, żeby uratować oszczędności.

Czy mogę sprawdzić, czy mój zwrot jest w drodze, bez logowania?

Status zwrotu sprawdzisz po zalogowaniu w eUrzędzie Skarbowym lub w aplikacji eUrząd Skarbowy. Możesz też zadzwonić na infolinię KAS albo umówić wizytę w urzędzie.

Tekst ma charakter informacyjny. Nie zastępuje porady prawnej ani kontaktu z bankiem lub urzędem.