oszustwo podatkowe przez e-mail

Oszustwo podatkowe przez e-mail to podszycie się pod urząd skarbowy z żądaniem dopłaty lub podania danych.

Jak działa oszustwo podatkowe przez e-mail

Oszustwo podatkowe przez e-mail jest odmianą phishingu, czyli wyłudzania informacji za pomocą wiadomości przygotowanej tak, aby przypominała korespondencję od zaufanej instytucji. Przestępca może podszyć się pod urząd skarbowy, administrację państwową, operatora płatności albo dostawcę elektronicznych usług podatkowych. Wiadomość zwykle zawiera informację o rzekomej niedopłacie, konieczności dopłaty podatku, zwrocie nadpłaty lub obowiązku potwierdzenia danych. Celem może być przejęcie hasła, numeru karty płatniczej, kodu jednorazowego albo nakłonienie odbiorcy do wykonania przelewu na rachunek wskazany przez oszusta.

Technicznie wiadomość może zawierać odsyłacz do fałszywej strony logowania, załącznik z dokumentem HTML, plik PDF z aktywnym odsyłaczem albo dokument zawierający złośliwy skrypt. Adres nadawcy widoczny w programie pocztowym nie zawsze jest wystarczającym dowodem autentyczności, ponieważ nazwa wyświetlana obok adresu może być dowolnie ustawiona. Również adres domeny może różnić się od prawdziwego jednym znakiem, używać podobnego podciągu tekstu lub znajdować się w domenie, której nazwa tylko pozornie nawiązuje do instytucji publicznej.

Odsyłacze, domeny i załączniki w podejrzanej wiadomości

Przed kliknięciem odsyłacza warto sprawdzić jego rzeczywisty adres, wyświetlany po najechaniu kursorem na link, bez otwierania strony. Szczególne znaczenie ma domena znajdująca się bezpośrednio przed końcówką, taką jak .pl, .com lub .eu. Ciąg tekstu przypominający nazwę urzędu umieszczony wcześniej w adresie nie potwierdza autentyczności witryny. Przykładowo adres zawierający nazwę instytucji jako część ścieżki lub subdomeny może prowadzić do całkowicie obcej domeny. Skrócone adresy, przekierowania i linki osadzone w obrazach utrudniają ocenę celu, dlatego wiadomość wymagająca pilnej płatności nie powinna być obsługiwana przez dołączony odsyłacz.

Załącznik powinien być traktowany jako potencjalnie niebezpieczny, jeżeli wiadomość jest nieoczekiwana albo wywołuje presję czasu. Ryzyko dotyczy nie tylko plików wykonywalnych z rozszerzeniem .exe, lecz także dokumentów biurowych, plików HTML, archiwów ZIP oraz dokumentów wykorzystujących makra lub zewnętrzne odwołania. Samo wyświetlenie pliku PDF zwykle nie oznacza infekcji, ale dokument może prowadzić do strony wyłudzającej dane. Nie należy włączać makr ani używać opcji „włącz zawartość” w dokumencie otrzymanym z nieznanego źródła. Wiadomości tego typu najlepiej zweryfikować przez samodzielne wejście na oficjalną stronę instytucji lub kontakt z nią przy użyciu niezależnie znalezionych danych.

Co można ustalić z nagłówków i stanu systemu

Program pocztowy zazwyczaj pokazuje uproszczony widok wiadomości, natomiast pełne nagłówki mogą ujawnić dodatkowe informacje techniczne. W zależności od usługi pocztowej można znaleźć pola „Received”, „Return-Path”, „Reply-To” oraz wyniki mechanizmów SPF, DKIM i DMARC. SPF pozwala serwerowi odbiorcy sprawdzić, czy serwer wysyłający jest uprawniony do wysyłania poczty dla danej domeny. DKIM dodaje do wiadomości podpis kryptograficzny, a DMARC określa sposób postępowania z wiadomościami, które nie przechodzą kontroli domeny i zgodności adresu nadawcy. Pomyślny wynik tych kontroli nie dowodzi jednak sam w sobie, że treść jest uczciwa, ponieważ legalna domena może zostać wykorzystana do wysłania fałszywej informacji albo przejęta przez napastnika.

Jeżeli użytkownik kliknął podejrzany link, należy zamknąć kartę przeglądarki, nie wpisywać dalszych danych i sprawdzić, czy nie został pobrany plik. W przypadku podania hasła trzeba zmienić je na prawdziwej stronie usługi, a jeżeli było używane w innych miejscach, zmienić również tam. Warto przejrzeć historię logowań, aktywne sesje i reguły przekazywania poczty, o ile dostawca udostępnia takie funkcje. Po uruchomieniu załącznika należy wykonać skan aktualnym programem ochronnym, sprawdzić listę ostatnio zainstalowanych aplikacji i zwrócić uwagę na nietypowe procesy, wyskakujące okna lub blokadę dostępu do plików. Samo usunięcie wiadomości nie cofa skutków wpisania danych na fałszywej stronie.

Bezpieczna reakcja i serwis komputera po incydencie

Otrzymanej wiadomości nie należy przekazywać dalej z aktywnymi odsyłaczami ani odpowiadać na adres wskazany w jej treści. Można zachować ją jako dowód, użyć funkcji zgłaszania phishingu w programie pocztowym i powiadomić właściwą instytucję kanałem opisanym na jej oficjalnej stronie. Jeżeli doszło do nieautoryzowanej płatności, trzeba niezwłocznie skontaktować się z bankiem, zablokować instrument płatniczy i przekazać informacje o transakcji. Gdy podejrzany plik mógł uruchomić złośliwe oprogramowanie, bezpieczniej jest odłączyć komputer od sieci do czasu sprawdzenia systemu, nie kasować pochopnie logów i nie podłączać niezaufanych nośników USB.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego po podejrzanym załączniku lub przejęciu przeglądarki można zlecić sprawdzenie systemu, programów startowych, aktualizacji oraz podstawowych objawów infekcji. Diagnostyka powinna obejmować także ocenę działania przeglądarki, nietypowych rozszerzeń, zapisanych sesji i komunikatów ochrony systemu. W razie stwierdzenia oznak naruszenia nie należy traktować samego odinstalowania programu jako pełnego rozwiązania; zakres działań zależy od tego, jakie dane zostały wpisane, jakie pliki uruchomiono i czy komputer był połączony z siecią podczas incydentu.