Jak zweryfikować powiadomienie z urzędu skarbowego albo ZUS

"Agencia Tributaria: masz oczekujący zwrot 342,18 €. Potwierdź tutaj swoje dane bankowe." Albo odwrotnie: "Masz dług wobec ZUS. Uniknij egzekucji, regulując go tutaj." Urzędy to doskonałe przebranie dla oszustwa: każdy je zna, nikt nie chce mieć z nimi kłopotów, a ich prawdziwe procedury są na tyle tajemnicze, że fałszywa wiadomość wygląda wiarygodnie.

Te kampanie idą falami i powtarzają ten sam szkielet co fałszywy SMS o mandacie DGT i fałszywy SMS kurierski: znana instytucja + pieniądze do rozliczenia (dla ciebie albo przeciwko tobie) + pilność + link. Jeśli nauczysz się weryfikować jedno, zweryfikujesz wszystkie.

Kluczowa zasada: urzędy nie załatwiają spraw linkami w SMS-ach

Zapamiętaj dwie rzeczy:

1. Urząd skarbowy i ZUS nie proszą o dane bankowe, hasła ani płatności przez link w niespodziewanym SMS-ie albo mailu. Ich elektroniczne sprawy idą przez oficjalne platformy e-urzędu, do których wchodzisz TY swoimi środkami identyfikacji (Cl@ve, certyfikat cyfrowy, DNIe).
2. Prawdziwy zwrot nie wymaga „potwierdzenia danych" z linku. Jeśli urząd ma ci zwrócić pieniądze, wpłaci je na konto, które już widnieje w twoim zeznaniu. Nie prosi o nową kartę SMS-em.

Każda wiadomość, która popycha cię do kliknięcia linku, żeby coś w urzędzie odebrać, zapłacić albo „uregulować", jest domyślnie podejrzana. Nie dlatego, że urzędy nigdy nie wysyłają pism, tylko dlatego, że link jako droga załatwiania spraw nie jest ich sposobem pracy.

Jak wygląda fałszywa wiadomość

• Zwrot. Najskuteczniejsza przynęta w sezonie rozliczeń (kwiecień–czerwiec): „masz oczekujący zwrot", z konkretną, wiarygodną kwotą. Prowadzi cię na fałszywą stronę udającą platformę e-urzędu, gdzie wpisujesz swoje dane osobowe i bankowe.
• Dług albo egzekucja. „Ostatnie ostrzeżenie przed egzekucją", „zaległy dług wobec ZUS". Gra strachem zamiast nadzieją, ale cel ten sam: twoje dane i twoja karta.
• Wizyta albo sprawa. Odmiany proszące o „potwierdzenie wizyty" albo „aktualizację danych", z linkiem. Z pozoru mniej pilne, tak samo fałszywe.
• Podobne domeny. Linki z „aeat", „agenciatributaria", „seg-social" albo „sede" plus myślniki i dodatkowe słowa, w domenach, które nie są oficjalne. Prawdziwe platformy kończą się na .gob.es.
• Nadawca, który niczego nie dowodzi. Jak przy wszystkich SMS-ach: nadawcę da się podrobić i niczego nie dowodzi ani nie obala.

Jak sprawdzić, czy jest coś prawdziwego

Metoda jest ta zwykła: zamknij wiadomość i sam wejdź oficjalnym kanałem. Przy urzędach jest jeszcze jaśniej, bo oficjalne kanały są jedyne i znane:

1. Nie klikaj linku. Zamknij go.
2. Sam wejdź na oficjalną platformę. Wpisz adres w przeglądarce (sede.agenciatributaria.gob.es, sede.seg-social.gob.es) albo użyj ich oficjalnych aplikacji. Nie wchodź tam linkiem z wiadomości ani przez pospieszne wyszukiwanie.
3. Zidentyfikuj się przez Cl@ve albo certyfikat i sprawdź. Jeśli jest zwrot, dług, sprawa albo powiadomienie, pojawi się tam. Jeśli nie ma nic, wiadomość była fałszywa.
4. Jeśli nie radzisz sobie z platformą e-urzędu, zadzwoń na oficjalne numery informacyjne (wyszukane przez ciebie na oficjalnej stronie, nie w wiadomości) albo umów się na wizytę stacjonarną.

Jeśli coś prawdziwego istnieje, załatwiasz to wewnątrz oficjalnej platformy. Nigdy linkiem z wiadomości. To dokładnie ten sam nawyk, który polecamy przy weryfikacji telefonu albo SMS-a z banku.

Co robić, jeśli już kliknąłeś albo podałeś dane

• Tylko kliknąłeś i zamknąłeś: prawie na pewno nic się nie stało. Zablokuj, usuń i idź dalej.
• Wpisałeś dane karty: od razu zadzwoń do banku, zablokuj kartę i poproś o nową. Pilnuj obciążeń w kolejnych tygodniach.
• Wpisałeś Cl@ve, login albo hasło do platformy: jak najszybciej zmień hasło z poziomu oficjalnej platformy i sprawdź, czy nie ma spraw albo poleceń zapłaty, których nie poznajesz. Jeśli podałeś PIN stałego Cl@ve, odnów go.
• Złóż zawiadomienie, dołączając zrzuty wiadomości i linku. Numer 017 instytutu INCIBE doradza za darmo.
• Zgłoś numer nadawcy w katalogu numerów spamowych.

Szybkie pytania

Czy urząd skarbowy naprawdę kiedyś powiadamia SMS-em? Urząd może wysyłać powiadomienia informacyjne (na przykład że czeka na ciebie pismo na platformie), ale prawdziwe powiadomienie odsyła do tego, żebyś TY wszedł na platformę e-urzędu — nie wkłada linku do załatwienia sprawy ani nie prosi o dane w samej wiadomości. W razie wątpliwości traktuj je jako niezweryfikowane i sprawdź na platformie.

A ZUS? To samo: pisma informacyjne tak, załatwianie spraw linkiem z niespodziewanej wiadomości nie. Elektroniczny system powiadomień (DEHú) działa tak, że to ty wchodzisz na portal, a nie klikasz linki, które dostajesz.

Czy w sezonie rozliczeń są groźniejsze? Tak, bo kontekst pomaga oszustowi: każdy czeka na swoje zeznanie i „oczekujący zwrot" pasuje. W kwietniu, maju i czerwcu nie ufaj podwójnie żadnej wiadomości podatkowej z linkiem.

Czy mail z oficjalnym logo jest wiarygodniejszy niż SMS? Nie. Logo kopiuje się w minutę, a nadawcę maila też da się podrobić. Stosuj tę samą zasadę: żadnych przychodzących linków, sam wchodź na platformę.

Jeśli dostałeś taką wiadomość, zgłoś ją w katalogu numerów NoCall: te kampanie zmieniają przebranie zależnie od sezonu, a twoje zgłoszenie pomaga, żeby następna osoba rozpoznała schemat na czas.