SMS o mandacie i e-mail o nadpłacie podatku to oszustwo

Oszuści rozsyłają jednocześnie SMS-y o mandacie do zapłaty, podszywające się pod mObywatela, i e-maile o nadpłacie podatku, podszyte pod e-Urząd Skarbowy. Oba linki prowadzą na strony, które chcą danych karty albo logowania do banku. Ministerstwo Finansów ostrzega przed e-mailami od 7 października 2026 roku. Komunikat w aplikacji mObywatel o SMS-ach z mandatem opisało 9 października Tabletowo. Prawdziwy mandat i prawdziwa nadpłata podatku nie wymagają klikania w link. Mandaty widać w aplikacji mObywatel, a status zwrotu w e-Urzędzie Skarbowym, do którego logujesz się sam.

Co jest w SMS-ie o mandacie od fałszywego mObywatela

SMS informuje o niezapłaconym mandacie za wykroczenie drogowe i grozi dodatkowymi opłatami, jeśli nie zapłacisz od razu. Tak streszcza go komunikat w aplikacji mObywatel, którego zrzut opublikowało Tabletowo. Link prowadzi do strony wyglądającej jak mObywatel. Formularz na niej prosi o imię i nazwisko, adres oraz dane płatnicze.

Orange Polska opisał tę samą kampanię 8 października. Według operatora wiadomości przychodzą ze zwykłych numerów, a treść zaczyna się od słowa “mObywatel”. Link prowadził do domeny mobywatel-pl[.]com, gdzie w miejscu kropki stoi łącznik. Domenę założono w dniu kampanii. Strona pokazuje numer mandatu, kod wykroczenia i niską kwotę, na przykład 50 zł.

Niska kwota to przynęta. Orange zwraca uwagę, co dzieje się po podaniu pełnych danych karty i jednorazowego kodu, którym bank potwierdza płatność internetową (3D-Secure). Przestępca może wtedy zrobić zakupy na kilka tysięcy złotych.

Ten schemat wracał w 2026 roku w kolejnych przebraniach:

• maj 2026 – oficjalne konto mObywatela ostrzegało przed SMS-ami, których “rzekomym nadawcą jest mObywatel”, a CERT Orange opisał wersję z “50% zniżki” za zapłatę w 24 godziny;
• czerwiec – CERT Polska ostrzegał przed wiadomościami z wizerunkiem spółki zarządzającej autostradą A4;
• wrzesień – według CERT Polska link prowadził do strony udającej rządowy serwis e-TOLL;
• październik – znów mObywatel.

E-mail o nadpłacie podatku: czego chce fałszywy e-Urząd Skarbowy

Fałszywy e-mail informuje o “rzekomej nadpłacie podatku wynikającej z automatycznej weryfikacji deklaracji PIT” i każe potwierdzić dane, żeby dostać zwrot. Tak opisuje go komunikat na podatki.gov.pl z 7 października, zaktualizowany dzień później. Żeby wiadomość brzmiała urzędowo, oszuści dopisują przepisy, kwotę nadpłaty, rok podatkowy i nazwę ministerstwa albo eUrzędu Skarbowego.

Fałszywa strona może żądać:

• danych karty płatniczej,
• numeru PESEL albo NIP,
• numeru rachunku bankowego,
• danych logowania,
• potwierdzenia operacji w bankowości elektronicznej albo kodu z SMS-a.

Ostatni punkt jest najgroźniejszy. Kod z SMS-a od banku potwierdza konkretną operację. Wpisany na cudzej stronie może oznaczać zgodę na przelew albo podpięcie karty.

Działa też drugi wariant tej samej rodziny. CERT Polska 1 października ostrzegał przed e-mailami “od KAS” o niezgodności w rozliczeniach. Załączony “raport” instaluje program Remcos, który daje przestępcom zdalny dostęp do komputera.

Pierwsza Misja AI · Kodożercy

AI zmienia rynek pracy. Zacznij rozumieć, o co chodzi.

Kurs Pierwsza Misja AI to najkrótszy kurs, po którym naprawdę rozumiesz AI, a na koniec możesz to pokazać certyfikatem. Fabuła w konwencji science fiction i gamifikacja sprawiają, że nie nudzisz się ani minuty.

Dołącz do kursantów →

Dlaczego te oszustwa wyglądają wiarygodnie

Oba schematy podpinają się pod usługi, które naprawdę istnieją. W aplikacji mObywatel jest usługa Mandaty, a CERT Polska w czerwcowym ostrzeżeniu wprost radzi, by powiadomienia o mandatach weryfikować właśnie w aplikacji. Krajowa Administracja Skarbowa naprawdę wysyła e-maile i naprawdę zwraca nadpłaty.

Bezpieczna reguła brzmi więc: mandat i zwrot podatku sprawdzasz w aplikacji albo na stronie, którą otwierasz sam, nigdy z linku w wiadomości. Działa ona niezależnie od tego, jak dobrze podrobiono nadawcę. Podpis nadawcy SMS-a da się sfałszować, co opisaliśmy przy kampanii “Gov PL”. Adres e-mail nadawcy też można podrobić, o czym piszemy w tekście o spoofingu.

Jak sprawdzić, czy pisze do ciebie państwo

Prawdziwą informację o mandacie i o zwrocie podatku znajdziesz w kanałach, które otwierasz samodzielnie. Tabela zbiera to, co podają ministerstwo, CERT Polska i Orange.

Sam adres nadawcy e-maila nie przesądza sprawy, bo da się go podrobić. Rozstrzyga to, co zobaczysz po samodzielnym zalogowaniu. Jeśli w eUS nie ma informacji o nadpłacie podatku, nie korzystaj z linku w e-mailu, a wątpliwości wyjaśnij przez infolinię KAS.

Kliknąłem link i podałem dane: co zrobić

Liczy się czas, bo przestępca zwykle próbuje użyć karty albo konta od razu. Kolejność działań zależy od tego, co wpisałeś na fałszywej stronie.

1. Dane karty albo kod z SMS-a – zadzwoń na infolinię banku i zastrzeż kartę. Sprawdź w aplikacji banku ostatnie transakcje i operacje oczekujące.
2. Login i hasło do banku – poproś bank o zablokowanie dostępu, a potem zmień hasło z zaufanego urządzenia.
3. PESEL – zastrzeż numer w aplikacji mObywatel albo na gov.pl. Co to realnie blokuje, wyjaśniamy w tekście o zastrzeżeniu PESEL.
4. Otwarty załącznik z e-maila “od KAS” – odłącz komputer od sieci. Nie loguj się na nim do banku, dopóki ktoś nie sprawdzi go pod kątem złośliwego oprogramowania.
5. Utracone pieniądze – zgłoś sprawę na policję i do banku. Drogi zgłoszenia opisaliśmy w poradniku o oszustwie bankowym.

Niezależnie od tego, czy kliknąłeś, zgłoś wiadomość do CERT Polska. SMS przekaż w całości poleceniem “Przekaż” na bezpłatny numer 8080. Z jednego numeru można w ten sposób zgłosić najwyżej trzy wiadomości w ciągu czterech godzin. E-mail prześlij na cert@cert.pl albo zgłoś przez formularz incydent.cert.pl. Działa też usługa “Bezpiecznie w sieci” w aplikacji mObywatel.

Orange dodaje jeszcze jedną kontrolę, która może pomóc nawet po podaniu danych karty: przeczytaj SMS z kodem 3D-Secure, zanim przepiszesz kod. Jeśli bank podał w nim kwotę albo odbiorcę i widzisz kilka tysięcy złotych zamiast 50 zł mandatu, nie wpisuj kodu.

Więcej schematów i znaków ostrzegawczych zebraliśmy w przewodniku po phishingu.

Najczęściej zadawane pytania

Czy mObywatel wysyła SMS-y o mandatach do zapłaty?

Nie znaleźliśmy żadnej informacji mObywatela ani Ministerstwa Cyfryzacji, że aplikacja wysyła SMS-y z linkiem do zapłaty mandatu. Orange pisze wprost: “Mandaty nie przychodzą SMS-em”. Mandaty, które są w systemie, zobaczysz w aplikacji w usłudze Mandaty, otwartej z ekranu telefonu.

Czy urząd skarbowy wysyła e-maile o zwrocie podatku?

Według Ministerstwa Finansów prawdziwe wiadomości z e-Urzędu Skarbowego przychodzą z adresu e-urzadskarbowy@podatki.gov.pl. Ministerstwo i KAS zastrzegają jednak, że nie wysyłają e-maili o nadpłacie, które nakłaniają do potwierdzenia danych identyfikacyjnych lub rachunku bankowego. Status zwrotu sprawdzisz po zalogowaniu do eUrzędu Skarbowego. Prawdziwe uprawnienia skarbówki wobec twojego konta opisaliśmy w tekście o tajemnicy bankowej.

Podsumowanie

W październiku 2026 roku krążą jednocześnie dwa oszustwa pod szyldem państwa: SMS o mandacie od fałszywego mObywatela i e-mail o nadpłacie podatku od fałszywego e-Urzędu Skarbowego. Fałszywy mObywatel prosi o dane osobowe i płatnicze, a fałszywy eUS może żądać też PESEL-u, NIP-u, rachunku albo logowania do banku. Orange opisał 8 października domenę z łącznikiem w miejscu kropki, założoną w dniu kampanii. Ministerstwo Finansów ostrzega przed e-mailami od 7 października, a CERT Polska od 1 października przed załącznikiem z programem Remcos. Skali kampanii nie podało żadne z tych źródeł. Mandaty sprawdzasz w aplikacji mObywatel, a zwrot podatku w eUrzędzie Skarbowym, w obu przypadkach otwartych samodzielnie. Jeśli dane już poszły, najpierw dzwonisz do banku, potem zgłaszasz wiadomość na 8080 albo do CERT Polska.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.