KAS i błąd JPK_VAT w e-mailu: phishing prowadzi do fałszywej poczty

Wiadomość wygląda jak sprawa, której księgowość nie może odłożyć: Krajowa Administracja Skarbowa miała wykryć rozbieżność podczas automatycznej weryfikacji pliku JPK_VAT. Odbiorca dostaje link i presję, aby szybko wyjaśnić problem. Kliknięcie nie prowadzi jednak do oficjalnej usługi podatkowej, lecz do strony podszywającej się pod panel logowania do poczty elektronicznej.

Taki schemat opisał CERT Polska w komunikacie z 15 października. Zespół potwierdza trwającą kampanię phishingową podszywającą się pod KAS i rekomenduje weryfikowanie sprawy niezależnym kanałem, bez używania danych kontaktowych z podejrzanej wiadomości.

Wniosek Breachroad: celem komunikatu o JPK_VAT nie jest wyjaśnienie podatku, lecz przeniesienie odbiorcy z wiarygodnego kontekstu biznesowego na fałszywy ekran logowania. To ważna lekcja dla firmy: phishing dotyczący finansów może próbować przejąć pocztę, ponieważ skrzynka otwiera drogę do faktur, resetów haseł, kontaktów i dalszego podszywania się pod pracowników.

Jak działa ten scenariusz

Atak wykorzystuje trzy elementy, które zwiększają wiarygodność:

• nazwę instytucji publicznej, z którą firmy rzeczywiście się rozliczają;
• technicznie brzmiący problem z JPK_VAT;
• presję czasu sugerującą konsekwencje braku reakcji.

Następnie następuje zmiana kontekstu. Wiadomość dotyczy rozliczeń podatkowych, ale strona prosi o dane do poczty. Ten brak ciągłości jest jednym z najsilniejszych sygnałów ostrzegawczych. System podatkowy nie powinien wymagać logowania do służbowej skrzynki poprzez formularz otwarty z e-maila.

CERT Polska nie stwierdza w komunikacie, że kampania instaluje malware lub wykorzystuje lukę w JPK. Nie należy dopisywać takiego mechanizmu bez dowodów. Potwierdzony schemat obejmuje podszycie pod KAS, historię o rozbieżnościach oraz przekierowanie do podrobionego panelu poczty.

Co zrobić po otrzymaniu wiadomości

Nie klikaj linku i nie odpowiadaj nadawcy. Otwórz stronę właściwej usługi samodzielnie z zakładki lub ręcznie wpisanego, znanego adresu. Jeżeli potrzebujesz potwierdzenia, skorzystaj z danych kontaktowych urzędu znalezionych niezależnie, a nie z numeru lub stopki w wiadomości.

Przekaż podejrzaną wiadomość do firmowego zespołu bezpieczeństwa zgodnie z procedurą. CERT Polska przyjmuje zgłoszenia przez incydent.cert.pl oraz usługę „Bezpiecznie w sieci” w aplikacji mObywatel. Zachowaj nagłówki i pełną treść wiadomości; sam zrzut ekranu może nie zawierać informacji potrzebnych do analizy nadawcy i linku.

Nie rozsyłaj aktywnego linku kolegom z pytaniem „czy to prawdziwe?”. W ten sposób rośnie liczba osób narażonych na przypadkowe kliknięcie. Użyj funkcji zgłoszenia phishingu lub przekaż wiadomość w sposób wskazany przez IT.

Jeśli link został otwarty

Samo otwarcie strony nie oznacza jeszcze przejęcia konta. Zamknij kartę, nie pobieraj plików i zgłoś zdarzenie, podając czas, urządzenie oraz używaną przeglądarkę. Zespół techniczny może wtedy sprawdzić logi DNS, proxy, EDR i poczty oraz ustalić, czy nastąpiło przekierowanie albo pobranie.

Jeśli wpisałeś login i hasło, działaj natychmiast z czystej, oficjalnej sesji:

1. skontaktuj się z IT lub właścicielem konta;
2. zmień hasło przez prawdziwy portal, nie wracając do linku z wiadomości;
3. unieważnij aktywne sesje i tokeny, jeśli usługa na to pozwala;
4. sprawdź metody MFA, reguły przekazywania poczty, filtry i aplikacje z dostępem do skrzynki;
5. przejrzyj wysłane wiadomości i alerty logowania;
6. ostrzeż osoby, które mogły dostać wiadomość wysłaną już z przejętego konta.

Zmiana hasła jest konieczna, lecz może nie wystarczyć. Napastnik mógł utworzyć regułę ukrywającą odpowiedzi, dodać metodę logowania lub zachować aktywną sesję. Zakres kontroli powinien zależeć od systemu pocztowego i dostępnych logów.

Instrukcja dla księgowości i biura rachunkowego

Zespoły finansowe otrzymują prawdziwe komunikaty o rozliczeniach, dlatego prosta zasada „instytucje nigdy nie wysyłają e-maili” byłaby nieskuteczna. Lepszy proces opiera się na zmianie kanału:

• wiadomość jest sygnałem do sprawdzenia sprawy, a nie miejscem logowania;
• pracownik otwiera znany portal niezależnie;
• nietypowe żądanie danych do poczty kończy proces i uruchamia zgłoszenie;
• druga osoba potwierdza działania o wysokim wpływie;
• helpdesk potrafi szybko unieważnić sesje i sprawdzić reguły skrzynki.

Firma powinna uwzględnić także zewnętrzne biuro rachunkowe. Trzeba uzgodnić, kto odbiera ostrzeżenia, jak zgłasza podejrzaną wiadomość i które konto może kontaktować się z urzędem. Współdzielona skrzynka bez jednoznacznego właściciela często opóźnia reakcję.

Krótka wiadomość do pracowników

„CERT Polska ostrzega przed e-mailami o rzekomych błędach JPK_VAT. Link w wiadomości może prowadzić do fałszywego panelu poczty. Nie loguj się przez ten odnośnik. Sprawdź sprawę w znanym portalu lub oficjalnym kanale urzędu, a wiadomość zgłoś do IT. Jeśli wpisałeś dane, zadzwoń do helpdesku od razu — szybkie zgłoszenie pomaga ochronić konto”.

Taki komunikat wskazuje konkretny schemat, bez obwiniania odbiorcy. Fakty o kampanii pochodzą z ostrzeżenia CERT Polska. Ocena roli skrzynki pocztowej, plan reakcji po wpisaniu danych i model współpracy z biurem rachunkowym są rekomendacjami Breachroad. Więcej podobnych przykładów zawiera nasz poradnik o fałszywych powiadomieniach KSeF, a bezpieczną reakcję pracowników można przećwiczyć podczas szkolenia z cyberbezpieczeństwa i phishingu.