„Urzędowy” e-mail zna numer Twojej sprawy. To nie wystarcza, by zapłacić

Czekasz na decyzję urzędu, pozwolenie albo wpis do rejestru. Przychodzi wiadomość z Twoim nazwiskiem, adresem inwestycji i prawdziwym numerem sprawy. Nadawca twierdzi, że postępowanie zatrzyma się bez natychmiastowej opłaty. Dokument wygląda wiarygodnie właśnie dlatego, że część zawartych w nim informacji jest prawdziwa.

Numer sprawy nie jest sekretnym hasłem. Informacje o wnioskach, przetargach, nieruchomościach i inwestycjach mogą pochodzić z jawnych rejestrów, ogłoszeń, korespondencji wielu stron albo wycieku. Oszust może połączyć poprawny kontekst z własnym rachunkiem bankowym.

Poprawne dane nie potwierdzają nowej należności

Nie oceniaj wiadomości wyłącznie po logo, pieczęci, imieniu urzędnika i braku błędów językowych. Wszystkie te elementy można skopiować. Najważniejsze pytania brzmią: czy opłata wynika ze znanej procedury, czy pojawia się w oficjalnym systemie i czy rachunek należy do właściwej instytucji?

Presja może odnosić się do realnego terminu: zaplanowanej rozprawy, odbioru decyzji, przetargu lub rozpoczęcia budowy. To nadal nie jest powód, aby użyć danych kontaktowych z otrzymanego e-maila. Im poważniejsze skutki rzekomego opóźnienia, tym ważniejsza jest niezależna weryfikacja.

Potwierdź opłatę poza wiadomością

Otwórz portal urzędu z własnej zakładki albo samodzielnie wpisanego adresu. Zadzwoń pod numer opublikowany w oficjalnym BIP, wcześniejszym potwierdzeniu złożenia wniosku lub papierowej korespondencji. Jeśli masz znanego prowadzącego sprawę, użyj zapisanego wcześniej kontaktu, nie podpisu z nowej wiadomości.

Zapytaj o nazwę opłaty, podstawę, kwotę, termin i właściwy rachunek. Porównaj nazwę odbiorcy oraz numer konta z oficjalną instrukcją. Nie zakładaj, że przelew na rachunek osoby prywatnej lub pośrednika jest prawidłowy tylko dlatego, że e-mail zna numer sprawy.

Nie otwieraj załącznika wymagającego włączenia dodatkowych funkcji i nie loguj się przez przesłany link. Prawdziwą należność można potwierdzić bez wykonywania instrukcji osoby, która ją zgłosiła.

Jeśli przelew został już wysłany

Natychmiast skontaktuj się z bankiem i poproś o próbę zatrzymania lub odzyskania środków. Przekaż numer rachunku odbiorcy, kwotę, godzinę i sposób autoryzacji. Szybkość ma znaczenie, choć zwrot nie zawsze będzie możliwy.

Zachowaj e-mail wraz z pełnymi danymi nadawcy, załączniki, potwierdzenie przelewu i adresy stron. Powiadom prawdziwy urząd lub instytucję, ponieważ inni uczestnicy podobnych postępowań mogą otrzymać tę samą historię. Zgłoś oszustwo Policji, a podejrzaną wiadomość lub stronę także przez incydent.cert.pl.

Jeżeli podałeś dane logowania, zmień hasło na oficjalnej stronie i zakończ obce sesje. Sama korekta płatności nie zamyka ryzyka przejęcia skrzynki lub konta w portalu.

Dla firmy to problem procesu, nie spostrzegawczości księgowości

Pracownik finansów nie powinien samodzielnie oceniać pieczęci i stylu pisma. Firma może wymagać, aby nowa opłata urzędowa miała właściciela biznesowego, potwierdzenie w systemie lub telefon do znanego prowadzącego. Zmiana rachunku bankowego powinna uruchamiać dodatkową kontrolę.

Warto prowadzić listę aktywnych postępowań, osób odpowiedzialnych i oczekiwanych płatności. Oszust wykorzystuje rozproszoną wiedzę: ktoś zna projekt, ktoś fakturę, a ktoś termin. Prosta wspólna lista pozwala połączyć te informacje przed przelewem.

Co potwierdza źródło, a co rekomenduje Breachroad

FBI ostrzegło 9 marca 2026 roku przed e-mailami podszywającymi się pod amerykańskie urzędy planowania i zagospodarowania. Sprawcy korzystali z publicznych informacji o pozwoleniach, numerach wniosków i adresach nieruchomości, a następnie żądali fałszywych opłat przelewem lub inną metodą. FBI zaleca potwierdzanie należności pod numerem znalezionym na oficjalnej stronie. Komunikat dotyczy spraw w Stanach Zjednoczonych i nie potwierdza identycznej kampanii w Polsce.

Wnioskiem Breachroad jest szersza zasada: prawdziwy kontekst z jawnego źródła nie uwierzytelnia nadawcy ani numeru rachunku. W polskiej sprawie trzeba sprawdzić procedurę w konkretnym urzędzie i jego oficjalnym BIP. Firmy powinny stosować podobną niezależną kontrolę przy każdej nowej płatności; mechanizm opisujemy też w analizie fałszywych stron firm i zaliczek B2B. Takie scenariusze ćwiczymy podczas szkoleń z cyberbezpieczeństwa.