Fałszywe maile o korekcie JPK_VAT 2026: jak odróżnić oszustwo od prawdziwego powiadomienia KAS

Krajowa Administracja Skarbowa (KAS) ostrzegła w piątek 16 października 2026 r. przed falą fałszywych maili podszywających się pod urzędy skarbowe i informujących o rzekomej korekcie pliku JPK_VAT (komunikat KAS opublikowany na gov.pl). Jeśli co miesiąc składasz JPK_VAT jako czynny podatnik VAT - a tak robi większość jednoosobowych działalności na fakturach B2B - jesteś dokładnie w grupie, którą oszuści biorą na cel, bo wiedzą, że korekta pliku brzmi dla Ciebie wiarygodnie.

Na czym polega oszustwo z korektą JPK_VAT?

Oszuści wysyłają e-mail podszywający się pod KAS lub urząd skarbowy, w którym informują o konieczności "korekty" lub "weryfikacji" pliku JPK_VAT (Jednolity Plik Kontrolny - elektroniczna ewidencja VAT, którą czynni podatnicy wysyłają do 25. dnia każdego miesiąca). Wiadomość zachęca do kliknięcia w link albo otwarcia załącznika.

Celem jest wyłudzenie danych osobowych, numerów kont bankowych oraz loginów i haseł do poczty (komunikat KAS, 16 października 2026 r.). Mechanizm jest banalnie prosty i właśnie dlatego skuteczny. Dostajesz mail w stylu urzędowym, z logo przypominającym resort finansów, często z poczuciem pilności - "wykryto niezgodność", "wymagana natychmiastowa korekta". Klikasz w link, trafiasz na stronę łudząco podobną do e-Urzędu Skarbowego, wpisujesz dane logowania. Od tej chwili ktoś obcy ma dostęp do Twojej skrzynki, a przez nią - do resetów haseł w bankowości i systemach księgowych.

Kampanie podszywające się pod skarbówkę to nie jednorazowy incydent. CERT Polska informował w 2026 r. o oddzielnej fali phishingu wykorzystującej markę e-Urzędu Skarbowego, a wcześniej KAS ostrzegała przed analogicznymi mailami o rzekomej kontroli podatkowej. Schemat się powtarza, zmienia się tylko pretekst - raz korekta JPK_VAT, raz kontrola, raz zwrot nadpłaty.

Po czym poznać prawdziwe powiadomienie od fiskusa?

Prawdziwe powiadomienie dotyczące JPK_VAT nie zawiera w treści żadnych klikalnych linków ani prośby o logowanie - to oficjalne i jednoznaczne kryterium podane przez KAS. Jeśli wiadomość każe Ci "kliknąć, żeby zweryfikować" albo "zalogować się przez poniższy odnośnik", to z definicji nie pochodzi od administracji skarbowej.

"Powiadomienia dotyczące JPK_VAT wysyłane przez Krajową Administrację Skarbową nie mają w swojej treści żadnych linków, ani odnośników, w które można kliknąć. Nie zawierają również prośby o logowanie do jakiegokolwiek systemu." - komunikat Krajowej Administracji Skarbowej, gov.pl, 16 października 2026 r.

Do tego dochodzi druga reguła: prawdziwe pismo z urzędu nie zawiera wezwania do natychmiastowej zapłaty pod linkiem ani załączników z plikami do uruchomienia. Cała realna komunikacja w sprawie JPK_VAT, korekt i zwrotów VAT odbywa się przez e-Urząd Skarbowy, do którego logujesz się samodzielnie - wpisując adres w przeglądarce, a nie przez odnośnik z maila.

Jak duża jest skala phishingu w Polsce?

Phishing to dziś najpowszechniejsza forma oszustwa komputerowego w Polsce - wynika z raportów CERT Polska, zespołu reagowania na incydenty działającego przy NASK. Tylko w lutym 2026 r. zespół otrzymał 51,2 tys. zgłoszeń i zarejestrował 18,5 tys. incydentów bezpieczeństwa (Podsumowanie Miesiąca CERT Polska, luty 2026). W lipcu 2026 r. liczba incydentów sięgnęła 31,2 tys., o 12% więcej niż rok wcześniej (CERT Polska, lipiec 2026).

Podszywanie się pod instytucje publiczne - skarbówkę, ZUS, dostawców energii, firmy kurierskie - to jeden z najchętniej wykorzystywanych scenariuszy, bo nadawca "urzędowy" automatycznie podnosi wiarygodność w oczach odbiorcy. Oszuści grają na tym, że mało kto kwestionuje mail "od urzędu skarbowego", zwłaszcza przedsiębiorca, dla którego JPK_VAT to comiesięczna rutyna.

"W sezonie rozliczeń podatkowych większość z nas wysyła swoje deklaracje podatkowe. Spodziewamy się jakichś komunikatów z urzędu. Kiedy nagle dostajemy wiadomość mówiącą «Przysługuje Ci zwrot nadpłaty!», czy «Kontrola podatkowa - kliknij tutaj!» - instynkt podpowiada nam, żeby reagować szybko z uwagi na ciekawość czy strach wywołany treścią wiadomości. Właśnie na to liczą oszuści." - Iwona Prószyńska, ekspertka NASK ds. strategicznej komunikacji w cyberbezpieczeństwie (nask.pl, 25 lutego 2026 r.)

JPK_VAT wysyłasz regularnie, zwrot VAT czasem faktycznie wisi na koncie, a "korekta" brzmi jak coś, co rzeczywiście może się zdarzyć. Dlatego ten konkretny pretekst jest groźniejszy niż losowy mail o paczce - trafia w realny obowiązek, który masz w głowie. Powiem wprost: moim zdaniem największym sprzymierzeńcem przestępców jest tu nie technologia, tylko kalendarz.

Co zrobić, gdy dostaniesz podejrzany mail?

Podejrzaną wiadomość zweryfikujesz jednym telefonem - infolinia KAS pod numerem 22 330 03 30 służy właśnie do wyjaśniania wątpliwości (komunikat KAS, gov.pl). Nie klikaj w linki, nie otwieraj załączników i nie wpisuj żadnych danych na stronie, do której prowadzi mail.

Kolejność działań, jeśli mail już wylądował w Twojej skrzynce:

1. Nie klikaj w nic - ani w link, ani w załącznik, ani w "wypisz się".
2. Zadzwoń na infolinię KAS 22 330 03 30 albo zaloguj się do e-Urzędu Skarbowego samodzielnie, wpisując adres w przeglądarce.
3. Zgłoś incydent do CERT Polska przez formularz na cert.pl - w ten sposób trafia on do blokowania złośliwych domen.
4. Jeśli kliknąłeś i podałeś dane logowania - natychmiast zmień hasła (najpierw do poczty), włącz dwuskładnikowe uwierzytelnianie i skontaktuj się z bankiem.

Co to oznacza dla przedsiębiorcy na JDG z VAT?

Przy fakturowaniu B2B na poziomie 22 tys. zł miesięcznie (podatek liniowy 19%, netto ok. 17 480 zł po ZUS i podatku) Twoja skrzynka firmowa to realny skarbiec - łączy dostęp do bankowości, systemu księgowego i e-Urzędu Skarbowego. Przejęcie poczty przez phishing "na korektę JPK_VAT" to nie tylko utrata danych, ale potencjalnie przejęcie firmowego konta i zmiana numerów rachunków na fakturach wysyłanych Twoim klientom.

Stawka jest tu inna niż u osoby prywatnej. Jako czynny podatnik VAT rozliczasz stawki 23%, 8% czy 5%, składasz JPK_VAT co miesiąc i korespondujesz z fiskusem częściej niż przeciętny Kowalski - więc fałszywy mail "o korekcie" jest dla Ciebie statystycznie bardziej prawdopodobny i bardziej wiarygodny. To nie znaczy, że masz być sparaliżowany strachem, tylko że jeden nawyk - "urząd nie przysyła linków" - załatwia 90% ryzyka.

Jeśli przy okazji porządkujesz firmowe finanse, sprawdź, czy Twoja forma opodatkowania jest optymalna, w kalkulatorze formy opodatkowania, a bezpieczne konto firmowe z osobnym logowaniem porównasz w rankingu kont firmowych. Rozdzielenie poczty prywatnej i firmowej oraz oddzielne hasła to najtańsze zabezpieczenie, jakie masz pod ręką. Temat skarbówki śledzimy szerzej - jak urzędy analizują dziś cyfrowe ślady podatników, opisaliśmy w analizie kontroli podatkowej 2026.

Komentarz redakcji - dlaczego akurat JPK_VAT?

Kampania phishingowa z korektą JPK_VAT to świadomy wybór celu, a nie przypadek - sprawdziliśmy chronologię ostrzeżeń KAS i widać w niej wyraźny wzorzec sezonowości wokół obowiązków podatkowych. Oszuści celują w momenty, gdy przedsiębiorca i tak myśli o rozliczeniach: korekta pliku, kontrola, zwrot VAT.

To samo zjawisko widać przy innych zmianach w rozliczeniach - po wejściu nowych zasad korekt i nadpłat w Ordynacji podatkowej oraz przy wdrażaniu KSeF i e-faktur, gdzie zamieszanie regulacyjne tworzy idealne tło dla podszywania się pod urzędy. Im więcej cyfrowych obowiązków - JPK, KSeF, e-Urząd Skarbowy, rozliczenia zwrotu VAT - tym więcej wiarygodnych pretekstów dla fałszywych maili. Uważam, że w 2027 r. ten rodzaj oszustwa będzie się nasilał, nie słabł. Dobra wiadomość jest taka, że obrona się nie zmienia: urząd nie przysyła linków, a jeden telefon na 22 330 03 30 rozwiewa każdą wątpliwość.

Porządkując bezpieczeństwo firmowych pieniędzy, warto pójść krok dalej i policzyć, co zrobić z nadwyżką - czy nadpłacać kredyt, czy odkładać - w Decyzjomacie Nadpłata, a jeśli planujesz w najbliższych latach hipotekę, sprawdź swój werdykt w Decyzjomacie Hipotecznym. Więcej analiz finwire.pl na temat podatków znajdziesz w hub kategorii podatki.

Narzędzia do Twojej decyzji

• Kalkulator wynagrodzenia netto
• Kalkulator UoP vs B2B
• Kalkulator składek ZUS
• Kalkulator PIT-37
• Kalkulator ulgi na dzieci