Phishing pod urząd skarbowy: jak firma traci dane przez jeden klik

W piątek Ministerstwo Finansów opublikowało komunikat ostrzegający przed oszustami rozsyłającymi fałszywe e-maile dotyczące weryfikacji plików JPK_VAT. Wiadomości zachęcają do kliknięcia w niebezpieczny link lub otwarcia załącznika. Po kliknięciu użytkownik trafia do serwisu, który może wymagać podania poufnych danych — resort określił to wprost jako próbę wyłudzenia informacji.

Mechanizm ataku jest prosty: podszycie się pod instytucję, pretekst osadzony w realnym obowiązku sprawozdawczym i link lub załącznik prowadzący do strony zbierającej dane. JPK_VAT to ustrukturyzowany plik z ewidencją VAT, który podmioty zobowiązane przekazują organom podatkowym — dlatego wiadomość o jego „weryfikacji” nie wygląda na nietypową.

Ministerstwo wskazało dwie zasady postępowania: nigdy nie podawać poufnych informacji, zwłaszcza w reakcji na podejrzaną wiadomość, oraz wyjaśniać wątpliwości telefonicznie na infolinii KAS pod numerem 22 330 03 30. Incydenty z zakresu cyberbezpieczeństwa można zgłaszać przez platformę CERT.

Ofiara nie jest tu system informatyczny, a osoba, która ma kompetencje i obowiązek zająć się tematem podatków. Wiadomość o korekcie czy weryfikacji JPK_VAT trafia w obszar, w którym każdy pracownik księgowości oczekuje poleceń i szybko je wykonuje. Fałszywy nadawca przejmuje autorytet urzędu, nie musi więc nikogo przekonywać do zmiany zachowania — wystarczy, że podsunie wygodny skrót.

Skutki udanego ataku nie kończą się na jednym kliknięciu. Przejęte dane logowania mogą otworzyć dostęp do skrzynki, a przez nią do faktur, umów i kontaktów z kontrahentami — to z kolei typowa droga do prób podmiany numerów rachunków i wyłudzeń płatności. Wyciek danych osobowych może dodatkowo uruchomić obowiązki z zakresu ochrony danych, zależne od charakteru i skali zdarzenia.

Dlatego weryfikacja nadawcy musi odbywać się kanałem niezależnym od samej wiadomości. Numer telefonu podany w treści maila nie jest potwierdzeniem — potwierdzeniem jest numer infolinii KAS wskazany w oficjalnym komunikacie.

Ludzie i role. Zasada „nie podajemy danych w odpowiedzi na maila” musi być znana nie tylko właścicielowi i głównej księgowej. Obejmuje cały zespół księgowości i kadr, osoby wystawiające faktury, asystentów zarządu odbierających korespondencję, a także pracowników nowo zatrudnionych, osoby na zastępstwie i pracowników sezonowych, którzy w szczycie mają dostęp do firmowej skrzynki. Każda z tych osób powinna wiedzieć, że żadna wiadomość — nawet wyglądająca na urzędową — nie jest podstawą do podania hasła, loginu, danych klientów ani numerów rachunków.

Sytuacje nietypowe. Procedura musi rozstrzygać przypadki brzegowe: wiadomość przyszła po godzinach pracy lub w szczycie rozliczeń, adres nadawcy jest łudząco podobny do urzędowego, w treści jest załącznik archiwum albo prośba o pilną weryfikację lub kontakt telefoniczny pod numerem z maila. Osobno trzeba opisać sytuację odwrotną — gdy korekta pliku JPK_VAT jest rzeczywiście potrzebna. Wtedy drogą sprawdzenia jest kontakt z infolinią KAS (22 330 03 30) lub kanał oficjalny, nigdy link z otrzymanej wiadomości.

System i narzędzia. Sama znajomość zasady nie wystarczy, jeśli skrzynka pozwala na wszystko. Po stronie technicznej warto mieć włączone uwierzytelnianie dwuskładnikowe do poczty, filtrowanie spamu, blokowanie linków i załączników od nadawców spoza zaufanej listy oraz osobną skrzynkę do korespondencji z administracją. Trzeba też wiedzieć, kto ma dostęp do plików JPK_VAT i ewidencji — im szerszy i mniej opisany, tym większe ryzyko.

Przegląd wewnętrzny. Raz na kwartał warto sprawdzić, czy procedura działa w praktyce: wysłać kontrolny mail phishingowy do zespołu, przejrzeć rejestr zgłoszeń, zweryfikować uprawnienia do skrzynki i rotację haseł. Do tego dochodzi plan reakcji na incydent — kto decyduje o zablokowaniu konta, kto ocenia, czy doszło do naruszenia ochrony danych, kto zgłasza sprawę przez platformę CERT. Plan zapisany i przećwiczony działa lepiej niż plan wyłącznie deklarowany.

Przegląd kontroli wewnętrznej pokazuje nie deklaracje, a faktyczne funkcjonowanie zabezpieczeń: czy filtrowanie poczty jest skuteczne, kto realnie ma dostęp do danych wrażliwych, czy incydenty są dokumentowane i czy zgłoszenia trafiają do jednego miejsca. Audyt wewnętrzny pozwala też ocenić, czy proces obiegu dokumentów podatkowych ma punkty kontrolne w miejscach, w których pojawia się presja na szybkie działanie.

Warto przy tym rozdzielić kompetencje: badanie sprawozdania finansowego nie jest testem bezpieczeństwa IT, a kwestie poprawności rozliczeń VAT wymagają konsultacji z doradcą podatkowym. Osobno przegląd procesów finansowo-księgowych i kontroli wewnętrznej pokazuje, gdzie dane firmy są najbardziej odsłonięte.

Fałszywy mail o JPK_VAT jest jednym z wariantów szerszego zjawiska: atakujący podszywają się pod instytucję publiczną lub kontrahenta i wykorzystują rutynowy obowiązek jako pretekst. Identycznie może wyglądać wiadomość o wezwaniu do korekty deklaracji, zmianie danych rejestrowych czy aktualizacji rachunku bankowego.

Dlatego ochrona nie polega na rozpoznawaniu konkretnej kampanii, ale na powtarzalnej procedurze: sprawdź nadawcę innym kanałem, nie podawaj danych w odpowiedzi na wiadomość, zgłoś incydent, przejrzyj uprawnienia. Ta sama logika obowiązuje przed rozmową z bankiem, inwestorem czy kontrahentem, który prosi o pilne dane — niezależnie od tego, jak wiarygodnie wygląda nadawca.