Pierwsze oszustwa „na KSeF” – jak rozpoznać fałszywe maile i SMS-y oraz co zrobić, gdy klikniesz
To nie jest teoria – administracja skarbowa publikuje ostrzeżenia przed fałszywymi mailami podszywającymi się pod urząd.
Dlaczego akurat KSeF?
Bo to temat „gorący”, dotyczy faktur i podatków, a do tego wielu przedsiębiorców dopiero wdraża nowe procedury.
Oszuści świetnie to wykorzystują: wystarczy dodać słowa „KSeF”, „weryfikacja” i „urząd skarbowy”, żeby część osób zareagowała odruchowo. A w cyberbezpieczeństwie odruch = ryzyko.
Jak wyglądają pierwsze oszustwa „na KSeF” – najpopularniejsze scenariusze
1) „Pismo z urzędu” / „wezwanie” / „nieprawidłowości w KSeF”
Dostajesz maila, który wygląda urzędowo: jest „naczelnik”, „kontrola”, „powiadomienie”, „zaległość” albo „wyjaśnienia”. Na końcu: prośba o otwarcie załącznika albo kliknięcie linku do rzekomego pisma.
Cel? Wyłudzenie danych albo uruchomienie złośliwego pliku.
2) „Twoje konto KSeF zostanie zablokowane” – pilna weryfikacja
Tu gra się na czasie: „ostatnie ostrzeżenie”, „24 godziny”, „natychmiast”.
Link prowadzi do strony łudząco podobnej do serwisu rządowego, gdzie proszą o logowanie, token, dane firmy lub dostęp do konta. To klasyczny phishing.
3) „Aktualizacja certyfikatu / odświeżenie uprawnień”
Oszustwo udaje techniczny komunikat: „certyfikat wygasa”, „uprawnienia wymagają potwierdzenia”, „problem z uwierzytelnieniem”.
Znowu: link, formularz, dane wrażliwe. W wersji „premium” – załącznik HTML lub ZIP.
4) SMS „alert KSeF” albo „dopłata/zwrot”
Krótki SMS i link. Na telefonie łatwiej kliknąć „z rozpędu”.
Czasem to nie jest nawet stricte „KSeF”, tylko miks: „zwrot podatku”, „dopłata”, „zaległość” + „weryfikacja KSeF”.
Czerwone flagi – po tym poznasz, że to ściema
- Nadawca nie jest z domeny gov.pl albo adres wygląda dziwnie (losowe znaki, literówki, nietypowa końcówka).
- Presja czasu: „pilne”, „ostatnie ostrzeżenie”, „zablokujemy dostęp”, „masz 24 godziny”.
- Załącznik, którego się nie spodziewasz – zwłaszcza HTML, ZIP, EXE lub plik wyglądający jak „pdf”, a nie będący PDF-em.
- Link do logowania w mailu/SMS – zamiast wejścia ręcznie na oficjalną stronę.
- Prośba o dane wrażliwe: hasła, tokeny, dane bankowe, „potwierdzenie rachunku”.
- Język jak z automatu, błędy, nienaturalne zwroty, „urzędowy ton” bez konkretów.
Bezpieczna zasada nr 1: nie klikaj – sprawdzaj „po swojemu”
Jeśli dostajesz maila lub SMS o KSeF, nie klikaj w link.
Zamiast tego:
- wejdź ręcznie w przeglądarce na oficjalny serwis KSeF (wpisując adres samodzielnie),
- sprawdź komunikaty i swój dostęp z poziomu prawdziwego panelu,
- jeśli masz wątpliwości – zweryfikuj temat niezależnie (np. telefonicznie przez oficjalne kanały).
To proste, a robi ogromną różnicę. 90% wyłudzeń działa tylko dlatego, że ktoś kliknie w link „z wiadomości”.
W firmie: prosta procedura, która ratuje skórę
- Jedna osoba odpowiedzialna za KSeF (uprawnienia, dostęp, weryfikacje).
- Minimalne uprawnienia – każdy ma tylko to, czego potrzebuje do pracy.
- Zakaz podawania haseł w mailu/telefonie – bez wyjątków.
- Wątpliwości = stop. Najpierw weryfikacja, dopiero potem działanie.
- Szkolenie 10 minut dla zespołu: jak wyglądają fałszywe maile i co robić po kliknięciu.
Kliknąłeś link albo otworzyłeś załącznik? Zrób to od razu (krok po kroku)
Krok 1: przerwij i odłącz
- zamknij stronę,
- jeśli podejrzewasz infekcję – odłącz komputer od internetu (Wi-Fi/kabel).
Krok 2: jeśli podałeś dane – zmień hasła natychmiast
- zmień hasło do poczty e-mail (to zwykle „klucz do wszystkiego”),
- zmień hasła do systemów księgowych i kont firmowych,
- włącz MFA (uwierzytelnianie wieloskładnikowe), gdzie tylko się da.
Krok 3: skan i wsparcie IT
- uruchom pełne skanowanie antywirusowe,
- jeśli to komputer firmowy – zgłoś do IT/administratora (lepiej „dmuchać na zimne”).
Krok 4: zgłoś incydent
Zgłaszanie pomaga ograniczyć skalę oszustw i ostrzec innych. Jeśli masz podejrzenie phishingu lub fałszywego SMS-a, rozważ zgłoszenie do właściwych kanałów (np. CERT lub kanały zgłoszeń KAS).
Mini-checklista (do wydrukowania lub wklejenia pracownikom)
- Nie klikam w linki z maili/SMS o KSeF.
- Nie otwieram załączników „z urzędu”, jeśli ich nie oczekiwałem.
- Nie podaję haseł, tokenów, danych bankowych.
- Wątpliwości = sprawdzam ręcznie w oficjalnym serwisie.
- Po kliknięciu: zamykam, odłączam internet, zmieniam hasła, zgłaszam.
Podsumowanie
Oszustwa „na KSeF” będą się nasilać – bo to temat, na którym łatwo zbudować presję i chaos.
Dobra wiadomość jest taka, że wystarczy kilka prostych zasad, żeby się nie dać złapać: nie klikać, weryfikować niezależnie, nie podawać danych.
