„Uwaga! Urzędy skarbowe i Ministerstwo Finansów nie prowadzą telefonicznej ani mailowej weryfikacji rozpatrywanych spraw. Są to próby wyłudzeń ze strony oszustów, którzy chcą uzyskać od nas pieniądze lub informacje”. Takie ostrzeżenie pojawiło się na stronie Ministerstwa Finansów zaledwie kilka tygodni po wprowadzeniu Polskiego Ładu – tyle wystarczyło, aby przestępcy wykorzystali zamieszanie wokół nowego systemu podatkowego do ataku na dane i… pieniądze.
Zdezorientowani są obecnie i podatnicy, i urzędnicy, tymczasem oszustwa „na Polski Ład” zdążyły już przybrać kilka różnych form: podszywania się pod oficjalne numery instytucji państwowych, przechwytywania danych pod pozorem wypełnienia PIT-2, czy wyłudzeń skanów dowodów osobistych. Takie ataki kończą się nie tylko przejęciem pieniędzy z konta „ofiar”, ale i kradzieżą danych, dzięki którym przestępcy są w stanie zaciągnąć długi, z którymi poszkodowani będą się później borykać latami. Z pewnością można powiedzieć, że oszustwa na „Polski Ład” właśnie weszły do repertuaru przestępców. Jak je rozpoznać i jak się przed nimi bronić? Gdzie zgłosić próby oszustwa na Polski Ład? Przeczytaj, zanim oszust zgłosi się także do Ciebie.
(Nie)prawdziwy telefon ze skarbówki, czyli spoofing caller ID
Ataki spoofingowe zalewają Polskę już od jakiegoś czasu. Polegają na tym, że przestępcy podszywają się pod dowolny numer, który w aparacie odbiorcy identyfikuje się jako określona nazwa i numer kontaktu. Dotychczas oszuści podszywali się głównie pod konsultantów z infolinii banków, ale ostatnio ofiary ataków widzą na ekranach swoich telefonów p.. nazwę. „Urząd Skarbowy Warszawa”, lub „Krajowa Informacja Skarbowa” – przy czym na ekranie oprócz nazwy, widnieje także prawdziwy(!) numer instytucji. Gdy ofiara ataku odbiera telefon, jest informowana o tym, że ma np. niewielką niedopłatę podatku, co wyniknęło ze zmian wprowadzonych w ramach Polskiego Ładu i natychmiast musi wyrównać niedopłatę, inaczej czeka ją wysoka grzywna. Fałszywy urzędnik mówi, że te niewielką kwotę można uiścić od razu podczas rozmowy, co rozwiąże problem. Następnie przesyła link, za pomocą którego ofiara ma się zalogować do swojej bankowości elektronicznej. Dzięki linkowi (a dokładniej dzięki złośliwego oprogramowaniu, które jest pod nim zaszyte) przestępcy przechwytują login i hasło, po czym opróżniają nasze konta. Inny scenariusz może być taki, że wcale nie chodzi o niedopłatę, a wręcz przeciwnie: rzekomy urzędnik twierdzi, że danej osobie należy się wysoka ulga podatkowa i aby ją otrzymać, wystarczy uzupełnić pewne informacje. Oferując pomoc w wypełnieniu wniosku, wyłudzają wrażliwe dane: np. numer PESEL, numer i serię dowodu osobistego albo skan dokumentu tożsamości.
– Spoofing telefoniczny jest bardzo niebezpieczny, ponieważ bazuje na zaufaniu do instytucji publicznych, w tym wypadku do Urzędu Skarbowego czy Ministerstwa Finansów, przed którymi czujemy szczególny respekt. W dodatku, na ekranie telefonu widzimy prawdziwy numer i nazwę instytucji. Ale nie dajmy się zmanipulować: jeśli tylko rozmowa wzbudzi nasze wątpliwości, poprośmy o imię i nazwisko rozmówcy, jego stanowisko i podanie dokładnej nazwy jednostki, z której dzwoni. Potem rozłączmy się i zadzwońmy do instytucji z pytaniem, czy naprawdę taki urzędnik wykonał do nas połączenie. Absolutnie nie zdradzajmy żadnych danych informacji o sobie, ani nie wykonujmy poleceń dzwoniącego, bo to może skutkować po pierwsze wyczyszczeniem konta, a po drugie utratą danych, dzięki którym przestępca będzie mógł zaciągnąć na nasze nazwisko kredyt, podpisać nielegalne umowy, a nawet założyć fikcyjną firmę, co dla ofiary jest gwarancją obciążenia niezawinionymi długami – mówi Aneta Miszczak, ekspert Intrum.
SMS lub mail dotyczący PIT-2? To może być atak na Twoje pieniądze!
Wraz z wprowadzeniem Polskiego Ładu wszyscy zatrudnieni w Polsce dowiedzieli się, czym jest dokument podatkowy PIT-2. Gorączkowe rozważania na temat tego, czy złożyć oświadczenie, czy nie rozgorzały w społeczeństwie i mediach. Tę niepewność i poruszenie wykorzystują już przestępcy! Oszuści zaczęli rozsyłać maile i SMS-y, które informują o konieczności złożenia lub aktualizacji formularza PIT-2.
Jako nadawca takiej wiadomości widnieje konkretny urząd skarbowy z nazwą miejscowości albo resort finansów, ale są też przypadki, że odbiorcy wiadomości widzą w niej nazwę firmy, w której pracują i są przekonani, że wezwanie pochodzi od ich pracodawcy! Skąd przestępcy mają tak dokładne informacje o swoich ofiarach? Oczywiście z Internetu: nasze nazwiska i maile służbowe często są przecież zamieszczane na oficjalnych stronach firm, a my sami oznaczamy miejsce pracy choćby w mediach społecznościowych. Przestępcy coraz dokładniej „skanują” sieć w poszukiwaniu takich informacji, a dzięki temu, że więcej od nas wiedzą, ich atak może być bardziej skuteczny! W e-mailach zdarzają się także załączniki, które zawierają wirusy. Ich ściągnięcie powoduje zainstalowanie na urządzeniu oprogramowania szpiegującego, które kopiuje hasła do bankowości elektronicznej. Takie wiadomości i SMS-y mogą też zawierać linki do formularzy, których wypełnienie grozi utratą oszczędności i danych.
– Rozsyłając SMS-y i e-maile, w których mowa o PIT-2, oszuści liczą, że zadziałamy impulsywnie, przekonani, że wypełniamy pilny obowiązek wobec urzędu lub pracodawcy. Ale jeśli chodzi o bezpieczeństwo naszych finansów, pośpiech zawsze jest złym doradcą. Dlatego pod żadnym pozorem nie klikajmy w linki lub załączniki takich wiadomości. Żadna z instytucji administracji publicznej nie poprosi o nasze dane osobowe i bankowe. Polecenia takie jak „wyślij te dane w ciągu 24 godzin” lub „padłeś ofiarą przestępstwa, kliknij tutaj natychmiast” to próba wywarcia presji i bezpośredni atak na nasze pieniądze i dane, które pozwolą przestępcom wzbogacić się naszym kosztem
– podpowiada Aneta Miszczak, ekspert Intrum.
O jakie dane i działania nie ma prawa nas prosić urzędnik?
Aby skutecznie bronić się przed wyłudzeniami finansowymi, nie tylko tymi na „Polski Ład”, musimy przede wszystkim wiedzieć, kto i w jakim celu ma prawo wymagać przekazania określonych danych. Oto działania i informacje, o które NIE MA PRAWA prosić nas żaden urzędnik (ani nikt inny!):
- Login i hasło do bankowości internetowej.
- Numer karty płatniczej i jej kod CVV.
- Zainstalowanie dodatkowych aplikacji na telefonie i komputerze: jeśli dzwoniący nakłania Cię do ściągnięcia i zainstalowania programów typu TeamView lub QuickView lub jakichkolwiek aktualizacji wtyczek, to na pewno oszust! – są to aplikacje, które pozwalają na zdalne przechwycenie obrazu z Twojego ekranu, a więc przestępcy zobaczą stan Twojego konta i dane logowania.
Szczególne zasady bezpieczeństwa obowiązują też, jeśli chodzi o udostępnianie oryginału lub skanu naszego dowodu tożsamości lub prawa jazdy.
O okazanie (fizyczne) oryginału mogą nas zgodnie z prawem prosić jedynie:
- Po decyzji o rozpoczęciu kontroli: pracownik skarbowy, pracownik Zakładu Ubezpieczeń Społecznych.
- Funkcjonariusze: Policji, Straży Granicznej, Biura Ochrony Rządu, Służby Więziennej, Straży Leśnej.
- Pracownik hotelu (przy zameldowaniu).
- Sprzedawca alkoholu.
- Osoby działające w imieniu zarządcy drogi oraz pracownicy ochrony osób i mienia.
– Pamiętajmy, że wyżej wymienione osoby mogą prosić jedynie o fizyczne okazanie dowodu lub prawa jazdy, ale ani służby, ani urzędy nie będą nigdy prosić o przeskanowanie dokumentów i wysłanie tych skanów mailem. Nie dajmy się także namówić na zatrzymanie dowodu np. „pod zastaw”, np. przez pracowników firmy, w której wypożyczamy sprzęt czy auto. Pozostawienie dokumentów w rękach nieuprawnionej osoby to prosta droga do znalezienia się w długach – podkreśla Aneta Miszczak, ekspert Intrum.
W przypadku podejrzanego telefonu lub innej próby wyłudzenia danych, które dotyczą Ministerstwa Finansów, Urzędów Skarbowych czy Krajowej Administracji Skarbowej, należy zgłosić incydent pod adres mailowy: incydent@mf.gov.pl. A jeśli utraciłeś dowód osobisty, prawo jazdy lub ktoś wyłudził od Ciebie jego skan, natychmiast zastrzeż dokument i zgłoś się na Policję w celu powiadomienia o przestępstwie.
Źródło: Intrum