- Bezprawnik -
- Firma -
- Kliknął w maila o JPK_VAT i ma tylko 72 godziny. Mało który przedsiębiorca o tym pamięta
Kliknął w maila o JPK_VAT i ma tylko 72 godziny. Mało który przedsiębiorca o tym pamięta
Przedsiębiorcy dostają e-maile, które wyglądają jak wiadomość z Ministerstwa Finansów albo z Krajowej Administracji Skarbowej i dotyczą rzekomej weryfikacji lub korekty pliku JPK_VAT. W środku jest link albo załącznik, a po drugiej stronie czeka formularz, który ma wyciągnąć od ofiary dane, numery kont i hasła do poczty. Resort finansów wydał w tej sprawie ostrzeżenie 16 października 2026 r. i warto je potraktować poważnie, bo trafia w moment, w którym firmy i tak są zasypywane nowymi obowiązkami cyfrowymi.
Fałszywe maile o korekcie JPK_VAT. Przed czym ostrzega MF
Komunikat pojawił się na stronie Krajowej Administracji Skarbowej pod hasłem „Przestrzegamy przed oszustami, którzy wysyłają fałszywe maile”. Mechanizm jest prosty. Wiadomość podszywa się pod MF lub KAS, sugeruje problem z przesłanym plikiem JPK_VAT i nakłania do kliknięcia odnośnika albo otwarcia dołączonego pliku. Strona, na którą trafia odbiorca, ma wyłudzić, jak wylicza KAS, dane osobowe, numery kont bankowych, adresy e-mail i hasła do poczty elektronicznej.
Ministerstwo nie podało adresów nadawców ani tematu maila, pokazało jedynie zrzut przykładowej fałszywki.
Najważniejsze zdanie komunikatu dotyczy tego, jak wyglądają prawdziwe wiadomości. Według KAS powiadomienia w sprawie JPK_VAT wysyłane przez administrację skarbową „nie mają w swojej treści żadnych linków, ani odnośników, w które można kliknąć”. Nie zawierają też prośby o logowanie się do jakiegokolwiek systemu. Jeśli więc mail o JPK_VAT ma przycisk „zweryfikuj plik” albo załącznik do pobrania, sprawa jest w zasadzie przesądzona.
Jak skarbówka naprawdę kontaktuje się z firmą w sprawie JPK_VAT
Tu leży sedno problemu i powód, dla którego ten rodzaj oszustwa jest skuteczny. Fiskus faktycznie wysyła przedsiębiorcom wiadomości o niezgodnościach w JPK_VAT. Pierwsze masowe powiadomienia o rozbieżnościach ruszyły już w 2018 r. Odbiorca, który kiedyś dostał prawdziwego maila tego typu, nie ma odruchu podejrzliwości.
Prawdziwy mail o niezgodnościach ma jednak charakter informacyjny. Sygnalizuje, że coś się nie zgadza, i odsyła do sprawdzenia własnych rozliczeń, a w razie pytań do urzędu skarbowego. Nie zawiera linku, nie żąda haseł, nie każe niczego płacić.
Formalne wezwanie do korekty i kara 500 zł
Czymś innym jest formalne wezwanie naczelnika urzędu skarbowego. Ustawa o VAT pozwala urzędowi wezwać podatnika do skorygowania pliku, gdy błędy uniemożliwiają weryfikację transakcji. Firma ma wtedy 14 dni na korektę albo wyjaśnienie, że błędu nie ma. Brak reakcji może się skończyć karą 500 zł za każdy błąd wskazany w wezwaniu. Pisaliśmy o tym, gdy przepisy dopiero powstawały, w tekście o tym, że pomyłka w JPK może słono kosztować.
Takie wezwanie to pismo urzędowe doręczane w trybie przewidzianym dla pism, a nie zwykły mail. Oszuści grają właśnie na strachu przed karą i krótkim terminem.
e-Doręczenia od 1 października 2026 r.
Od 1 października 2026 r. przedsiębiorcy wpisani do CEIDG do końca 2024 r. powinni mieć aktywny adres do e-Doręczeń. Nowe firmy dostają go od razu przy rejestracji. Opisywaliśmy już, jak założyć skrzynkę do e-doręczeń, także w darmowej wersji od Poczty Polskiej. Przypominam też, że pismo, którego nikt nie otworzy, uznaje się za doręczone po 14 dniach i od tego momentu biegną terminy, również na odpowiedź na wezwanie z urzędu skarbowego.
Korespondencja z urzędów coraz częściej będzie więc trafiać do skrzynki e-Doręczeń. To daje prosty test. Sprawa, która naprawdę wymaga działania, powinna być widoczna w oficjalnym kanale.
Jak rozpoznać fałszywego maila „z KAS”
Kilka sygnałów pozwala odsiać większość fałszywek, zanim ktoś kliknie:
- link lub przycisk prowadzący do „weryfikacji”, „aktualizacji” albo „korekty” pliku, czego według KAS prawdziwe powiadomienia o JPK_VAT nie zawierają,
- załącznik, zwłaszcza archiwum ZIP, plik HTML lub dokument z prośbą o włączenie makr,
- żądanie zalogowania się, podania hasła do poczty, loginu do banku albo numeru konta,
- presja czasu i groźba kary lub blokady,
- adres nadawcy niezwiązany z domeną administracji, choć sama domena mf.gov.pl w polu „Od” niczego jeszcze nie dowodzi, bo nadawcę da się podrobić.
Problem nie jest nowy. Już kilka lat temu opisywaliśmy, jak oszuści grożą kontrolą skarbową i rozsyłają maile z zainfekowanymi załącznikami. Zmienia się tylko pretekst.
W razie wątpliwości MF radzi zadzwonić na infolinię KAS pod numer 22 330 03 30. Można też zalogować się do e-Urzędu Skarbowego lub skrzynki e-Doręczeń, wpisując adres ręcznie w przeglądarce, i sprawdzić, czy jest tam jakakolwiek korespondencja.
Co zrobić po kliknięciu w link z fałszywego maila
Jeśli ktoś w firmie już kliknął lub podał dane, liczy się czas. Kolejność działań powinna wyglądać mniej więcej tak:
- Natychmiast zmienić hasło do skrzynki pocztowej i do każdej usługi, w której używano tego samego hasła, oraz włączyć logowanie dwuskładnikowe.
- Jeśli w formularzu padły dane do bankowości, zadzwonić do banku i zablokować dostęp.
- Jeśli otwarto załącznik, odłączyć komputer od sieci i oddać go do sprawdzenia, zanim złośliwe oprogramowanie dotrze do kolejnych urządzeń.
- Zgłosić incydent do CERT Polska przez serwis incydent.cert.pl, na który wskazuje także KAS.
- Przy wycieku danych umożliwiających podszywanie się pod przedsiębiorcę rozważyć zastrzeżenie numeru PESEL w aplikacji mObywatel i zgłoszenie sprawy na policję.
Naruszenie RODO i 72 godziny na zgłoszenie do UODO
Mało kto o tym pamięta, ale przejęta skrzynka firmowa to często także dane klientów, pracowników i kontrahentów. Jeśli doszło do naruszenia ochrony danych osobowych, administrator ma zgodnie z art. 33 RODO 72 godziny od jego stwierdzenia na zgłoszenie sprawy Prezesowi UODO. Obowiązek odpada tylko wtedy, gdy naruszenie raczej nie spowoduje ryzyka dla osób, których dane dotyczą. Dotyczy to również jednoosobowej działalności. Warto przynajmniej udokumentować incydent i przyjęte środki, bo tego RODO wymaga niezależnie od decyzji o zgłoszeniu.
Oszuści żerują na cyfrowym zamieszaniu w firmach
Moim zdaniem termin tej kampanii nie jest przypadkowy. W tym roku przedsiębiorcy przeszli przez obowiązkowy KSeF, teraz doszły e-Doręczenia, a wielu z nich wciąż nie do końca wie, jaki komunikat przychodzi którym kanałem. Pisaliśmy przy okazji startu KSeF, że KSeF jest bezpieczny jak cyfrowa twierdza, tylko że najsłabszym ogniwem pozostaje człowiek przy skrzynce mailowej. Państwo też nie ułatwia sprawy. Kiedy oficjalne kanały działają z przerwami, a o porażce e-doręczeń pisało się na długo przed wprowadzeniem obowiązku dla wszystkich, przedsiębiorca łatwiej uwierzy mailowi, który „ułatwia” mu załatwienie sprawy.
Najprostsza zasada jest więc taka, że w sprawie JPK_VAT nie klika się w nic, co przyszło mailem. Prawdziwy problem z plikiem znajdzie się w oficjalnym systemie albo da się go potwierdzić na infolinii.
zobacz więcej:
