Oszustwo na zwrot podatku lub niedopłatę za prąd – jak weryfikować wiadomości od urzędów?

Czy krótka wiadomość tekstowa z żądaniem pilnej dopłaty 3,47 zł za energię elektryczną lub obietnicą natychmiastowego zwrotu nadpłaty podatkowej wymaga natychmiastowego kliknięcia odnośnika, aby uniknąć windykacji bądź utraty środków? W warunkach presji czasu i celowo wywołanego stresu wielu odbiorców podejmuje decyzje automatycznie, traktując interfejs telefonu jako zaufane źródło informacji. Za każdą taką wiadomością stoi precyzyjnie zaprojektowany mechanizm socjotechniczny oparty na spoofingu nadawcy, klonowaniu serwisów autoryzacyjnych i eksploatacji ludzkich odruchów obronnych. Zrozumienie wektorów tych ataków oraz opanowanie twardych reguł weryfikacji nagłówków, domen i kanałów komunikacji to podstawa ochrony tożsamości cyfrowej i zasobów finansowych.

Błąd 1: Uznawanie nadawcy w polu „Od” (Sender ID) za bezwzględną gwarancję tożsamości

Jednym z najpowszechniejszych błędów poznawczych użytkowników smartfonów jest bezkrytyczne ufanie nazwie wyświetlanej w polu nadawcy wiadomości SMS lub wiadomości poczty elektronicznej. Gdy w skrzynce odbiorczej pojawia się powiadomienie podpisane jako „PGE”, „Enea”, „Tauron” czy „e-Urząd Skarbowy”, telefon automatycznie grupuje nowy wątek w tym samym łańcuchu konwersacji, w którym znajdują się wcześniejsze, w pełni autentyczne komunikaty od danego usługodawcy. Taki mechanizm tworzy złudne poczucie bezpieczeństwa, sugerując, że skoro wiadomość trafiła do historycznego wątku, jej treść musi pochodzić z legalnego źródła.

Mechanizm SMS spoofingu i podatności protokołu GSM

Z punktu widzenia architektury telekomunikacyjnej alfanumeryczny identyfikator nadawcy (tzw. SMS Sender ID) to jedynie ciąg znaków (maksymalnie 11 znaków alfanumerycznych) przesyłany w nagłówku pakietu protokołu SMPP (Short Message Peer-to-Peer). Bramki internetowe pozwalające na masową wysyłkę wiadomości krótkich, zarejestrowane poza jurysdykcją Unii Europejskiej lub u nielicencjonowanych operatorów VoIP, umożliwiają wpisanie dowolnego ciągu znaków w pole nadawcy bez jakiejkolwiek walidacji kryptograficznej. W globalnym systemie sygnalizacyjnym SS7 (Signalling System No. 7) brak jest wbudowanych mechanizmów wymuszających uwierzytelnienie źródła pakietu SMS, co pozwala atakującym podszyć się pod dowolną instytucję państwową lub komercyjną.

Uwaga: Trafienie fałszywego komunikatu do oficjalnego wątku w aplikacji do obsługi SMS na systemach Android lub iOS jest bezpośrednią konsekwencją sposobu, w jaki system operacyjny indeksuje wiadomości – kluczem grupowania jest wyłącznie nazwa nadawcy, a nie certyfikat tożsamości nadawczej.

Fałszowanie nagłówków poczty e-mail: słabości konfiguracji SPF, DKIM i DMARC

Identyczny mechanizm dotyczy korespondencji elektronicznej. W przypadku wiadomości e-mail pole „From:” w nagłówku MIME (Multipurpose Internet Mail Extensions) może zostać sfałszowane w programie pocztowym, o ile serwer odbiorczy nie egzekwuje restrykcyjnych polityk bezpieczeństwa. Cyberprzestępcy rejestrują domeny łudząco podobne (np. zamiast gov.pl wykorzystują rozszerzenia typu .com.pl, .net.pl lub domeny z błędami literowymi) i konfigurują dla nich własne rekordy SPF (Sender Policy Framework) oraz sygnatury DKIM (DomainKeys Identified Mail).

Gdy odbiorca nie zweryfikuje dokładnego adresu serwera SMTP przesyłającego wiadomość oraz wpisu DMARC (Domain-based Message Authentication, Reporting, and Conformance), program pocztowy wyświetli ładnie sformatowaną nazwę, ukrywając faktyczne pochodzenie przesyłki. W efekcie użytkownik widzi komunikat rzekomo wysłany przez Krajową Administrację Skarbową, podczas gdy faktycznym nadawcą jest serwer ulokowany w egzotycznej strefie hostingowej.

Co zrobić zamiast bezwzględnego zaufania polu nadawcy?

Prawidłowa procedura weryfikacyjna wyklucza podejmowanie jakichkolwiek działań na podstawie samej nazwy kontaktu. W przypadku wątpliwości należy zastosować następujące kroki operacyjne:

• Przeanalizować pełne nagłówki wiadomości e-mail (w tym pola: Authentication-Results, Received-SPF oraz Return-Path), aby sprawdzić, czy domena nadawcy rzeczywiście pokrywa się z domeną wskazaną w polu widocznym dla użytkownika.
• W przypadku SMS-ów nie korzystać z linków zawartych w treści, lecz zweryfikować numer telefonu nadawcy – instytucje publiczne w Polsce korzystają z zastrzeżonych numeracji lub dedykowanych bram systemowych, które w przypadku powiadomień masowych podlegają rejestracji w rejestrze wzorców wiadomości prowadzonym przez CSIRT NASK zgodnie z Ustawą o zwalczaniu nadużyć w komunikacji elektronicznej.
• Traktować każdą wiadomość zawierającą roszczenie finansowe jako komunikat niezweryfikowany do momentu niezależnego potwierdzenia salda w autoryzowanym portalu klienta.

Błąd 2: Ocenianie wiarygodności strony wyłącznie po obecności zielonej kłódki i protokołu HTTPS

Przez lata kampanie edukacyjne utrwalały mit, że obecność ikony kłódki w pasku adresu przeglądarki oraz przedrostka https:// stanowi ostateczny dowód na bezpieczeństwo odwiedzanej witryny. Współczesny phishing niemal w stu procentach opiera się na szyfrowanych połączeniach. Cyberprzestępcy doskonale zaadaptowali się do nowoczesnych standardów sieciowych, wdrażając darmowe, zautomatyzowane certyfikaty TLS na setkach tysięcy fałszywych stron każdego dnia.

Czym jest certyfikat TLS/SSL typu DV i dlaczego nie poświadcza tożsamości firmy?

Protokół HTTPS gwarantuje wyłącznie poufność transmisji danych – oznacza to, że nikt na trasie pomiędzy Twoim urządzeniem a serwerem docelowym (np. dostawca internetu w kawiarni) nie podejrzy wpisywanego hasła. Nie mówi jednak nic o tym, kto jest właścicielem tego serwera. Atakujący wykorzystują bezpłatne urzędy certyfikacji (np. Let’s Encrypt, ZeroSSL), które wydają certyfikaty typu DV (Domain Validation). Weryfikacja typu DV polega jedynie na potwierdzeniu kontroli nad daną domeną (np. poprzez rekord DNS lub plik HTTP), co zajmuje botom przestępców ułamki sekund. Certyfikat potwierdza jedynie, że łączysz się bezpiecznie z serwerem oszusta, a nie z bankiem czy operatorem sieci dystrybucyjnej.

Ataki homograficzne (IDN) i rejestracja domen typosquattingowych

Kolejną zaawansowaną techniką maskowania tożsamości fałszywej witryny jest stosowanie międzynarodowych nazw domenowych IDN (Internationalized Domain Names) do przeprowadzania ataków homograficznych. Atak polega na zastąpieniu standardowych liter alfabetu łacińskiego znakami z cyrylicy lub alfabetu greckiego, które w renderingu czcionek przeglądarki wyglądają identycznie (np. litera „a” z alfabetu łacińskiego zastąpiona cyrylickim „а” [U+0430]). Przeglądarka interpretuje taki adres jako kod Punycode (ciąg znaków zaczynający się od xn--), ale użytkownik w pasku adresu może zobaczyć ciąg niemal nierozpoznawalny gołym okiem.

Równie groźny jest typosquatting, czyli rejestrowanie adresów z popularnymi literówkami (np. tauron-platnosci-online[.]pl, podatki-gov-zwrot[.]com, ebok-pge-faktury24[.]pl). Domeny te zawierają elementy słów kluczowych instytucji, co usypia czujność ofiary, szczególnie na ekranach smartfonów, gdzie długie adresy URL są domyślnie obcinane przez interfejs mobilnej przeglądarki.

Jak właściwie sprawdzać adres strony docelowej?

Prawidłowa weryfikacja certyfikatu i adresu wymaga dekonstrukcji całego łańcucha URL. Zamiast szukać kłódki, należy przeanalizować domenę najwyższego rzędu (TLD – Top-Level Domain) oraz domenę drugiego rzędu (SLD – Second-Level Domain).

Tip: Subdomeny czyta się od prawej do lewej strony. W adresie ebok.energa.pl.platnosc-rachunku.com faktyczną domeną, na której znajduje się użytkownik, jest platnosc-rachunku.com, a nie energa.pl. Wszystko, co znajduje się przed nazwą główną i jej rozszerzeniem, to jedynie subdomeny stworzone przez właściciela domeny po to, by wprowadzić w błąd odbiorcę.

Oficjalne serwisy administracji państwowej w Polsce operują wyłącznie w domenie gov.pl. Każdy serwis udający portal podatkowy, którego adres kończy się rozszerzeniem innym niż gov.pl (np. gov-podatki.pl, podatki-gov.com czy kas-skarbowy.online), jest bezwzględnie zasobem fałszywym stworzonym w celu wyłudzenia danych.

Błąd 3: Logowanie się do bankowości elektronicznej poprzez skrócone lub zamaskowane adresy URL

Wiadomości o rzekomej niedopłacie w wysokości kilku złotych lub konieczności zatwierdzenia zwrotu podatku niemal bez wyjątku zawierają bezpośrednie hiperłącza. Skuteczność tego ataku wynika z faktu, że użytkownik – kierowany chęcią szybkiego załatwienia sprawy – unika ręcznego przepisywania adresu i klika w przesłany link. Błąd ten otwiera drogę do ataku typu Man-in-the-Middle (MitM) z wykorzystaniem nowoczesnych narzędzi phishingowych.

Zagrożenia płynące ze skracaczy linków i przekierowań HTTP

W celu ukrycia rzeczywistego miejsca docelowego przestępcy powszechnie stosują usługi skracania linków (np. bit.ly, tinyurl, rb.gy) lub łańcuchy przekierowań na legalnych, lecz przejętych wcześniej stronach internetowych (np. opartych na niezaktualizowanym systemie WordPress). Kliknięcie w taki link powoduje wysłanie zapytania HTTP GET, które zwraca kod odpowiedzi

301 lub 302, przenosząc przeglądarkę przez kilka serwerów proxy, aby zmylić automatyczne skanery antywirusowe wbudowane w programy pocztowe. W momencie, gdy użytkownik dociera na docelową stronę, widzi podrobioną bramkę płatności (imitującą np. PayU, Przelewy24 czy Dotpay) lub fałszywy panel wyboru banku.

Architektura zestawów phishingowych (Phishing Kits) i omijanie 2FA

Współczesne strony wyłudzające dane to nie statyczne kopie formularzy, lecz dynamiczne aplikacje wykorzystujące technologię Reverse Proxy (np. oprogramowanie Evilginx). Kiedy ofiara wpisuje swój login, hasło oraz kod SMS lub autoryzację mobilną na sfałszowanej stronie, serwer oszusta w czasie rzeczywistym przekazuje te poświadczenia do prawdziwego portalu bankowego. W efekcie przestępcy przejmują aktywny token sesyjny (pliki cookie sesji), co pozwala im zalogować się na konto z pominięciem dwuskładnikowego uwierzytelnienia (2FA), bez wiedzy posiadacza rachunku.

Co zrobić lepiej: zasada separacji kanałów komunikacji

Bezpieczny model interakcji z jakąkolwiek instytucją finansową lub publiczną opiera się na bezwzględnym zerwaniu łańcucha przekierowań:

• Nigdy nie klikaj w linki do płatności przesyłane w wiadomościach: Żaden dostawca energii ani urząd skarbowy w Polsce nie wymaga autoryzacji natychmiastowych przelewów przez zewnętrzny link w SMS-ie.
• Ręczne wpisywanie adresu: Otwórz nowe okno przeglądarki i wpisz adres serwisu ręcznie z klawiatury lub skorzystaj z wcześniej zapisanej, zaufanej zakładki (np. zakładka do e-Urzędu Skarbowego na podatki.gov.pl lub panelu klienta PGE/Tauron).
• Rozwijanie skróconych linków w środowisku izolowanym: Jeśli weryfikujesz podejrzaną korespondencję służbowo, użyj narzędzi typu URL expander lub konsolowych poleceń curl -I [adres_url], aby przeanalizować nagłówki przekierowań bez renderowania złośliwego kodu w przeglądarce.

Błąd 4: Uleganie presji czasu i mechanizmom inżynierii społecznej

Większość fałszywych wezwań do zapłaty lub komunikatów o zwrocie podatku nie opiera się wyłącznie na lukach technicznych, lecz przede wszystkim na psychologicznych mechanizmach manipulacji. Przestępcy celowo projektują treść tak, aby wywołać natychmiastową reakcję emocjonalną, która blokuje racjonalną analizę faktów.

Presja rygoru natychmiastowości: technika „odłączenia usługi”

W fałszywych wiadomościach od rzekomych spółek energetycznych powtarza się stały motyw: informacja o planowanym odłączeniu energii elektrycznej w ciągu 24 lub 48 godzin z powodu zadłużenia na kwotę rzędu kilku złotych (np. „Brakuje 4,50 zł do pełnego rozliczenia”). Strach przed utratą zasilania w gospodarstwie domowym skłania odbiorcę do podjęcia natychmiastowej próby uregulowania należności bez weryfikacji dokumentów źródłowych.

Z prawnego i proceduralnego punktu widzenia odłączenie dostaw energii w Polsce jest procesem wieloetapowym, uregulowanym w ustawie Prawo energetyczne. Dostawca ma obowiązek:

• Wystawić pisemne upomnienie z wyznaczeniem dodatkowego, co najmniej 14-dniowego terminu zapłaty.
• Powiadomić klienta o zamiarze wypowiedzenia umowy listem poleconym lub poprzez oficjalny panel elektroniczny (eBOK) z odpowiednim wyprzedzeniem.
• Nie ma prawnej możliwości wstrzymania dostaw prądu na podstawie pojedynczej wiadomości SMS z terminem kilkunastogodzinnym.

Syndrom nieoczekiwanej korzyści: „nadpłata podatku za rok ubiegły”

Odwrotnością techniki zastraszania jest obietnica szybkiej korzyści finansowej. Wiadomości podszywające się pod Ministerstwo Finansów lub Krajową Administrację Skarbową sugerują, że podatnikowi przysługuje zwrot w wysokości kilkuset złotych, który zostanie utracony, jeśli wniosek nie zostanie zatwierdzony w ciągu kilku godzin. Mechanizm ten usypia czujność – w ferworze chęci odzyskania pieniędzy użytkownik chętniej udostępnia dane karty płatniczej (wraz z kodem CVV/CVC), rzekomo w celu „zaksięgowania zwrotu na rachunku”.

Fakt proceduralny: Urząd Skarbowy nigdy nie zwraca nadpłaty podatku na kartę płatniczą. Zwroty realizowane są wyłącznie na rachunek bankowy zgłoszony uprzednio w formularzu ZAP-3 / CEIDG lub przekazem pocztowym pod wskazany adres zamieszkania.

Co zrobić zamiast impulsywnego działania?

Wprowadź obowiązkową procedurę opóźnienia decyzyjnego. Gdy komunikat wywołuje nagłą potrzebę działania, wykonaj następujące kroki:

• Zastosuj regułę 15 minut – celowo odłóż telefon i nie podejmuj żadnych akcji finansowych pod wpływem impulsu.
• Zweryfikuj stan rozliczeń u źródła: zaloguj się do aplikacji mobilnej lub serwisu internetowego dostawcy energii i sprawdź zakładkę „Faktury i płatności”.
• Zadzwoń na oficjalną infolinię podmiotu (wybierając numer ze starej, papierowej faktury lub oficjalnej strony domeny gov.pl), ignorując numery kontaktowe podane w treści podejrzanej wiadomości.

Błąd 5: Podawanie wrażliwych danych uwierzytelniających zamiast danych identyfikacyjnych

Poważnym błędem podczas próby „weryfikacji” statusu sprawy jest mylenie danych służących do identyfikacji podatnika lub klienta z danymi uwierzytelniającymi, które zapewniają pełny dostęp do środków finansowych.

Różnica między identyfikacją a uwierzytelnieniem

W relacji z urzędem lub dostawcą mediów klient posługuje się danymi identyfikacyjnymi: numerem PESEL, NIP, numerem klienta czy numerem ewidencyjnym faktury. Żadna z tych instytucji w procesie rozliczania należności nie wymaga podawania danych autoryzacyjnych do konta bankowego.

Jeśli strona, na którą trafiłeś z linku, żąda wprowadzenia:

• Pełnego 16-cyfrowego numeru karty płatniczej wraz z datą ważności i 3-cyfrowym kodem CVV2/CVC2,
• Loginu i hasła do bankowości elektronicznej,
• Kodu jednorazowego z aplikacji autoryzacyjnej (np. token mObywatel lub SMS z banku),
• Kodu BLIK w celu rzekomego „potwierdzenia tożsamości” lub „odbioru gotówki”,

masz do czynienia z bezpośrednią próbą kradzieży środków. Żaden system poboru opłat urzędowych ani portal eBOK nie potrzebuje haseł do Twojego banku, aby zaksięgować płatność lub wysłać zwrot.

Jak korygować ten błąd?

Wypracuj bezwzględną zasadę minimalizacji danych: weryfikuj zadłużenie wyłącznie wewnątrz systemów zamkniętych. Prawdziwe płatności internetowe w administracji publicznej (np. opłacenie podatku w systemie Twój e-PIT) odbywają się za pośrednictwem zintegrowanego węzła płatniczego, gdzie po wybraniu banku następuje przekierowanie do autentycznego systemu transakcyjnego instytucji finansowej z zachowaniem pełnego adresu domeny banku.

Checklista weryfikacji podejrzanej wiadomości (SMS / E-mail)

Zanim klikniesz jakikolwiek odnośnik lub podejmiesz próbę zapłaty, przeprowadź audyt otrzymanego komunikatu na podstawie poniższej listy kontrolnej:

1. Domena nadawcy i adres docelowy:
   
   Czy adres e-mail kończy się wyłącznie oficjalnym sufiksem (np. @mf.gov.pl, @kas.gov.pl)? Czy w linku nie występują dodatkowe myślniki, kropki i obfrontowane subdomeny (np. pge.ebok-platnosc.pl zamiast gkpge.pl)?
2. Charakter żądania:
   
   Czy wiadomość wymusza płatność mikrosumy (1–10 zł) pod rygorem natychmiastowej blokady usług w nierealnym terminie?
3. Rodzaj wymaganych danych:
   
   Czy portal żąda podania numeru karty płatniczej (z kodem CVV) w celu „wypłaty zwrotu”, albo loginu i hasła do systemu bankowego?
4. Zgodność z historią korespondencji:
   
   Czy dotychczasowe faktury od dostawcy energii przychodziły w ten sam sposób? Czy w oficjalnym portalu eBOK widać jakiekolwiek zaległości finansowe?
5. Brak obecności na liście ostrzeżeń:
   
   Czy domena z wiadomości nie znajduje się na liście ostrzeżeń przed niebezpiecznymi stronami prowadzonej przez CSIRT NASK (dostępnej publicznie na ole.cert.pl)?

Gdzie zgłaszać próby oszustwa? Każdy podejrzany SMS zawierający link lub próbę wyłudzenia danych należy niezwłocznie przekazać bez zmian w treści na bezpłatny, ogólnokrajowy numer 8080, obsługiwany przez analityków zespołu CERT Polska. Zgłoszenia dotyczące fałszywych domen i wiadomości e-mail można również rejestrować bezpośrednio przez formularz na stronie incydent.cert.pl.

Błąd 6: Bierne czekanie po omyłkowym wpisaniu danych („Skoro strona pokazała błąd, nic się nie stało”)

Jednym z najbardziej kosztownych błędów jest założenie, że przerwanie procesu w połowie lub pojawienie się komunikatu o błędzie technicznym unieważnia przechwycone dane. Wiele osób po wpisaniu loginu i hasła na fałszywej stronie reflektuje się, zamyka kartę w przeglądarce i wraca do codziennych zajęć, uznając sprawę za niebyłą.

Dlaczego bierność natychmiast po incydencie przynosi straty?

Zestawy phishingowe rejestrują znaki wprowadzane w formularzach w czasie rzeczywistym (zdarzenia onchange lub keyup w kodzie JavaScript). Oznacza to, że atakujący otrzymuje dane uwierzytelniające w chwili ich wpisania, nawet jeśli formularz nie został ostatecznie zatwierdzony przyciskiem „Wyślij”.

Co więcej, spreparowane bramki po przejęciu danych celowo wyświetlają spreparowany komunikat w rodzaju: „Prace techniczne. Przepraszamy, płatność chwilowo niedostępna” lub przekierowują na prawdziwą stronę główną operatora. Ma to uśpić czujność ofiary i kupić przestępcom od kilkunastu minut do kilku godzin na spokojne przetransferowanie środków, zdefiniowanie nowego zaufanego odbiorcy lub wygenerowanie kredytu na dane ofiary.

Jak rozpoznać, że dane trafiły do przestępców?

• Po zatwierdzeniu formularza serwis nie przekierował Cię do znanego interfejsu Twojej bankowości z historią rachunku, lecz wyświetlił błąd 404, pustą białą stronę lub ogólny komunikat o problemach z siecią.
• Otrzymujesz SMS lub powiadomienie push z banku z prośbą o autoryzację operacji, której nie zlecałeś (np. dodanie nowego urządzenia zaufanego, zmiana limitów transakcyjnych, zmiana numeru telefonu do autoryzacji).
• Nastąpiło niespodziewane wylogowanie z oficjalnej aplikacji bankowej na telefonie lub utrata dostępu do konta e-mail powiązanego z bankowością.

Co zrobić lepiej: natychmiastowa procedura ratunkowa

W przypadku wpisania poświadczeń na niezweryfikowanej stronie liczy się szybkość reakcji w pierwszych minutach. Zamiast czekać na rozwój wypadków, wykonaj następujące działania w ściśle określonej kolejności:

1. Zablokuj kanały zdalne w banku: Zadzwoń na infolinię alarmową swojego banku (wybierz numer podany na odwrocie fizycznej karty płatniczej) i poinformuj konsultanta: „Moje poświadczenia logowania trafiły na stronę phishingową, proszę o natychmiastową blokadę dostępu internetowego i unieważnienie tokenów sesyjnych”. Konsultant odetnie dostęp do serwisu bez konieczności blokowania samych środków na koncie.
2. Obniż limity w aplikacji mobilnej: Jeśli wciąż masz dostęp do oficjalnej aplikacji w telefonie, a połączenie z infolinią trwa, wejdź w ustawienia kart oraz przelewów i zmień dzienne limity transakcji internetowych i ekspresowych na 0 zł.
3. Zastrzeż numer PESEL: Otwórz oficjalną aplikację mObywatel lub wejdź na portal gov.pl i użyj funkcji „Zastrzeż PESEL”. Od 1 czerwca 2024 roku instytucje finansowe w Polsce mają prawny obowiązek weryfikacji tego rejestru – zastrzeżony PESEL blokuje możliwość zaciągnięcia natychmiastowej pożyczki lub wyrobienia duplikatu karty SIM na Twoje dane.
4. Unieważnij sesje powiązane: Jeśli to samo hasło stosowałeś w innych portalach (np. na skrzynce e-mail powiązanej z bankiem), natychmiast zmień hasło główne i wybierz opcję „Wyloguj ze wszystkich innych urządzeń”.

Co sprawdzić przed podjęciem decyzji: schemat weryfikacji krzyżowej

Kiedy otrzymujesz powiadomienie o zadłużeniu lub nadpłacie, całkowicie zignoruj kanał, którym nadeszła wiadomość. Zamiast tego przeprowadź bezpośrednią weryfikację krzyżową w oficjalnych środowiskach podmiotów publicznych i komercyjnych.

Scenariusz A: Rzekoma niedopłata za energię elektryczną

Zamiast klikać w link w wiadomości SMS, skorzystaj z niezależnych punktów kontrolnych:

• Aplikacja dostawcy (eBOK): Uruchom oficjalną aplikację mobilną swojego operatora (PGE, Tauron, Enea, Energa) pobraną wyłącznie ze sklepu Google Play lub Apple App Store. Sprawdź saldo bieżące – rzeczywiste faktury i niedopłaty pojawiają się tam w czasie rzeczywistym.
• Weryfikacja numeru konta bankowego: Porównaj indywidualny numer rachunku do wpłat (indywidualny rachunek rozliczeniowy) z numerem widniejącym na dowolnej wcześniejszej, opłaconej już fakturze papierowej lub w formacie PDF. Dostawcy mediów przypisują każdemu klientowi stały, unikalny numer konta – nie zmienia się on z miesiąca na miesiąc w wiadomości SMS.

Scenariusz B: Rzekomy zwrot podatku lub wezwanie z Urzędu Skarbowego

Administracja skarbowa w Polsce wdrożyła scentralizowane środowiska cyfrowe, które eliminują konieczność załatwiania spraw przez e-maile czy SMS-y:

• Portal podatki.gov.pl (e-Urząd Skarbowy): Zaloguj się za pośrednictwem Węzła Krajowego (Profil Zaufany, aplikacja mObywatel lub bankowość elektroniczna). W zakładce „Zwroty podatków” oraz „Dokumenty doręczone” sprawdzisz faktyczny stan rozliczenia deklaracji PIT bez pośrednictwa zewnętrznych operatorów płatności.
• Brak linków płatniczych w pismach urzędowych: Jeżeli KAS kieruje pismo w sprawie zaległości, trafia ono do e-Urz