„DGFiP: twoje konto Podatnika zostanie zamkniete 09/10 z powodu braku weryfikacji tozsamosci. Zwrot w wysokosci 326,41 EUR oczekuje na zatwierdzenie: https://impots-espace-verification.net/particulier"
Ten SMS o nic Cię nie oskarża. Nie grozi zajęciem majątku, nie wspomina o kontroli skarbowej, nie mówi o żadnej karze. Zapowiada dwie rzeczy jednocześnie: drobną formalność administracyjną do załatwienia oraz pieniądze, które na Ciebie czekają. To połączenie niezwykle skuteczne, bo neutralizuje nieufność obietnicą zysku, a jednocześnie narzuca termin.
A przede wszystkim ten SMS przychodzi w odpowiednim momencie. Nie w środku lutego, kiedy nikt nie myśli o swoim zeznaniu. Ale jesienią, gdy decyzje podatkowe trafiają do skrzynek, gdy pobierane są dopłaty salda, gdy część gospodarstw domowych rzeczywiście czeka na przelew ze skarbu państwa. Oszuści nie odgadują Twojej sytuacji podatkowej: grają na publicznym kalendarzu, któremu wszyscy podlegają w tym samym czasie.
Dlaczego kalendarz podatkowy jest najlepszym wspólnikiem oszustów
Smishing działa wtedy, gdy wiadomość trafia w okno czasowe, w którym staje się wiarygodna. A francuski system podatkowy oferuje okna bardzo szerokie i doskonale przewidywalne:
- kwiecień–czerwiec: kampania rozliczeniowa, wszyscy logują się na swoje konto podatnika;
- lipiec–sierpień: publikacja decyzji o podatku dochodowym i wypłata zwrotów dla gospodarstw, którym pobrano za dużo u źródła;
- wrzesień: pobranie salda od tych, którzy mają dopłacić, czasem rozłożone aż do grudnia;
- październik–listopad: decyzje o podatku od nieruchomości, potem terminy płatności, a dla zainteresowanych podatników modyfikacja stawki poboru u źródła na kolejny rok.
Innymi słowy, nie ma praktycznie ani jednego miesiąca w roku, w którym SMS wspominający o zwrocie, decyzji podatkowej czy weryfikacji nie mógłby wydać się trafiony. Oszust nie musi wiedzieć, czy dotyczy to właśnie Ciebie: na 100 000 zalanych wiadomościami numerów kilka tysięcy osób faktycznie na coś czeka od administracji skarbowej.
Direction générale des Finances publiques (DGFiP) regularnie ostrzega przed takimi kampaniami na swojej stronie impots.gouv.fr, a Cybermalveillance.gouv.fr klasyfikuje podszywanie się pod urzędy jako jeden z najczęstszych scenariuszy phishingu. Wspólny mianownik wszystkich tych ostrzeżeń jest zawsze ten sam: administracja nigdy nie prosi o dane bankowe ani dane logowania przez SMS czy e-mail.
Cztery warianty krążące w 2026 roku
1. Oczekujący zwrot
Najbardziej rozpowszechniony. Konkretna kwota, najczęściej między 150 a 800 euro — dość wiarygodna jak nadpłata poboru u źródła, nigdy na tyle duża, by wzbudzić podejrzenia. Link prowadzi do fałszywego formularza w barwach impots.gouv.fr, który prosi o numer identyfikacji podatkowej, datę urodzenia, a potem o IBAN i często numer karty płatniczej „w celu weryfikacji tożsamości właściciela".
I tu jest punkt zwrotny: zwrot realizowany jest przelewem, a przelew nigdy nie wymaga numeru karty. Jeśli ktoś żąda 16 cyfr Twojej karty, abyś otrzymał pieniądze, jesteś na stronie oszustów — koniec dyskusji.
2. Zamknięcie lub zawieszenie konta podatnika
Wariant „łagodnego strachu". Wyjaśnia się, że Twoje konto zostanie dezaktywowane z powodu braku weryfikacji. Celem jest przechwycenie pary numer identyfikacji podatkowej + hasło, która otwiera dostęp do informacji o ogromnej wartości: dochody, skład gospodarstwa domowego, adres, decyzje podatkowe do pobrania. Te dokumenty są później wykorzystywane do składania wniosków kredytowych, fikcyjnych najmów czy pełnej kradzieży tożsamości.
3. Niezapłacone saldo z groźbą podwyżki
Ten wariant imituje wezwanie do zapłaty. „Saldo 712 EUR nieuregulowane, naliczona oplata dodatkowa 10% w ciagu 48h." Link prowadzi do strony płatności online. Pieniądze trafiają bezpośrednio na konto kontrolowane przez oszustów, często przez karty przedpłacone albo rachunki pieniądza elektronicznego otwarte na podstawie fałszywych dokumentów.
4. Fałszywy doradca, który dzwoni
Najbardziej kosztowny. Po pierwszym SMS-ie następuje telefon, czasem z numerem wyświetlanym jako 09 lub 01, przypominającym numer urzędu skarbowego. Bardzo spokojny rozmówca wyjaśnia, że wykryto oszustwo na Twoim koncie podatkowym i że trzeba „zabezpieczyć" środki. Banque de France odnotowywała zresztą w 2026 roku wzrost oszustw określanych jako „manipulacyjne" — tych, w których ofiara sama wykonuje przelew, przekonana, że działa dla własnej ochrony.
Siedem sygnałów, które zdradzają fałszywy SMS podatkowy
| Sygnał | Co robi prawdziwa DGFiP | Co robi fałszywy SMS |
|---|---|---|
| Link w wiadomości | Nigdy linku do formularza z danymi bankowymi | Skrócony link lub łudząco podobna domena |
| Domena | Wyłącznie impots.gouv.fr | impots-verification.net, dgfip-particulier.com… |
| Prośba o IBAN | Odbywa się z poziomu uwierzytelnionego konta | Wymagany w otwartym formularzu |
| Karta płatnicza | Nigdy przy zwrocie | Zawsze wymagana |
| Termin | Terminy płatności ogłaszane tygodnie wcześniej | „24h", „48h", „dziś wieczorem" |
| Ortografia i znaki diakrytyczne | Teksty sprawdzone, pełna poprawność zapisu | Brak znaków diakrytycznych, chaotyczne wielkie litery |
| Nadawca | Zwykle nazwa nadawcy, nigdy prywatny numer komórkowy | Numer komórkowy 06/07 lub podrobiona nazwa nadawcy |
Brak znaków diakrytycznych wymaga pewnego uściślenia: samo w sobie nie jest to już wiarygodne kryterium. Kampanie generowane narzędziami AI tworzą dziś teksty w nienagannym języku, z pełną interpunkcją, poprawną składnią, a nawet odpowiednim słownictwem urzędowym. Kilka wyspecjalizowanych serwisów udokumentowało w 2026 roku ten wzrost jakości w oszustwach „na paczkę"; dokładnie to samo dotyczy tematyki podatkowej. Jedynym kryterium, które się nie starzeje, pozostaje adres linku oraz charakter żądanych informacji.
Odruch na trzydzieści sekund: nigdy nie wychodź od SMS-a
Zasada mieści się w jednym zdaniu: nigdy nie weryfikuj informacji w tym samym kanale, który ją przyniósł. Jeśli SMS mówi o zwrocie, nie masz żadnego powodu, by klikać w jego link ani dzwonić pod wskazany numer.
Właściwa procedura:
- Zamknij SMS-a. Nie klikaj, nawet „żeby tylko zobaczyć".
- Wpisz samodzielnie
impots.gouv.frw przeglądarce albo otwórz oficjalną aplikację „impots.gouv", którą zainstalowałeś ze sklepu z aplikacjami w swoim telefonie. - Zaloguj się na swoje konto podatnika. Każdy zwrot, każda decyzja, każdy termin płatności są tam widoczne. Jeśli nic tam nie ma, to znaczy, że nic nie ma.
- Zgłoś wiadomość pod numer 33700, krajowy system zgłaszania niechcianych SMS-ów, po prostu przekazując SMS-a dalej. Możesz też złożyć zgłoszenie na platformie Phishing Initiative albo na cybermalveillance.gouv.fr.
Jeśli często przeglądasz konta i dokumenty urzędowe na ekranie, zwykły uchwyt na smartfon postawiony na biurku zmienia bardzo wiele: zmusza Cię, byś patrzył na ekran prosto, zamiast czytać SMS-a pod kątem, na stojąco, w ruchu — dokładnie w warunkach, w których klika się bez zastanowienia.
Dlaczego mimo wszystko tak wiele osób klika
Wygodnie byłoby wierzyć, że w pułapkę wpadają tylko najbardziej naiwni. Fakty mówią coś innego: czynnikiem decydującym jest kontekst, nie inteligencja.
- Naprawdę czekasz na zwrot. Para, która zmodyfikowała swoją stawkę poboru u źródła, wie, że przelew ma nadejść. SMS nie tworzy oczekiwania — on je potwierdza.
- Właśnie zalogowałeś się na prawdziwą stronę. Kampanie są często wysyłane masowo w szczytach logowań. Otrzymanie SMS-a „DGFiP" godzinę po wejściu na impots.gouv.fr tworzy bardzo silne złudzenie przyczynowości.
- Wątek rozmowy jest zanieczyszczony. Jeśli prawdziwa wiadomość od instytucji publicznej już trafiła do wątku opisanego nazwą, oszukańczy SMS podszywający się pod tę samą nazwę nadawcy może się tam wkraść i wyświetlić zaraz po prawdziwych. To jeden z ubocznych skutków alfanumerycznych nazw nadawców, które Arcep i operatorzy próbują uregulować mechanizmem uwierzytelniania nadawców.
- Czytasz na małym ekranie. Obcięty link, ukryty pasek adresu — i oszukańcza domena staje się niewidoczna. Dla osób, które mrużą oczy nad telefonem, para okularów do czytania w zasięgu ręki to nie szczegół wygody: to właśnie to pozwala przeczytać pełny adres URL, zanim dotkniesz go palcem.
Jeśli kliknąłeś: lista przydatnych kroków, po kolei
Kliknięcie nie oznacza, że wszystko jest stracone. Liczy się to, co wpisałeś, oraz szybkość reakcji.
- Nic nie wpisałeś, tylko otworzyłeś stronę. Ryzyko jest niewielkie na zaktualizowanym telefonie. Zamknij kartę, usuń historię tej witryny i sprawdź, czy system jest aktualny.
- Wpisałeś numer identyfikacji podatkowej i hasło. Zaloguj się natychmiast na prawdziwą stronę i zmień hasło. Użyj hasła unikalnego, długiego, niepodobnego do żadnego innego. Jeśli masz trudność z zapamiętaniem kilku, papierowy notes na hasła przechowywany w domu pozostaje rozwiązaniem znacznie bezpieczniejszym niż jedno hasło używane wszędzie.
- Podałeś dane bankowe. Zadzwoń do banku bez zwłoki, zablokuj kartę, poproś o monitorowanie konta. Zablokowanie karty i zakwestionowanie transakcji to Twoje prawa: artykuł L. 133-18 francuskiego kodeksu monetarnego i finansowego przewiduje zwrot nieautoryzowanych operacji, poza przypadkami rażącego zaniedbania.
- Wykonałeś przelew. Skontaktuj się z bankiem w ciągu godziny, jeśli to możliwe: przelew można czasem odwołać przed ostatecznym wykonaniem. Następnie złóż zawiadomienie o przestępstwie.
- W każdym przypadku zgłoś oszustwo na platformie Thésée francuskiego ministerstwa spraw wewnętrznych i zachowaj zrzuty ekranu SMS-a oraz strony.
Szczegół często pomijany: jeśli pobrałeś plik z oszukańczej strony, nie otwieraj go. Fałszywe formularze podatkowe bywają furtką dla złośliwych aplikacji, zwłaszcza na Androidzie, gdy dopuszczono instalację z nieznanych źródeł. Sprawdź to ustawienie i pozostaw je wyłączone.
Jak chronić bliskich, którzy dostają takie SMS-y, nie rozumiejąc mechanizmu
Prawdziwie narażoną grupą nie są tu nieuważni podatnicy: to osoby, które nigdy nie korzystały ze swojego konta podatnika. Emeryt nieodprowadzający podatku, osoba, która zawsze rozliczała się na papierze, młody człowiek, który właśnie złożył pierwsze zeznanie — wszystkich łączy to, że nie wiedzą, jak wygląda prawdziwa komunikacja ze skarbówką.
Trzy rozmowy, które warto z nimi przeprowadzić:
- „Urząd nigdy nie poprosi cię o kartę płatniczą przez SMS." Sformułowane tak, bez wyjątków, to zasada łatwa do zapamiętania i zawsze prawdziwa.
- „Jeśli wiadomość cię ponagla, to fałszywka." DGFiP ogłasza swoje terminy tygodnie wcześniej, zarówno na papierowych decyzjach, jak i online.
- „Dzwonisz do mnie przed kliknięciem, nigdy po." Wyznaczenie osoby zaufanej w rodzinie od razu przerywa dynamikę pośpiechu.
Dla osób starszych, które chcą pozostać osiągalne telefonicznie, nie korzystając z internetu, telefon komórkowy z dużymi klawiszami, bez przeglądarki, rozwiązuje problem w sposób mechaniczny: oszukańczy SMS być może dotrze, ale link nie ma gdzie się otworzyć. A dla tych, którzy są przywiązani do swojego smartfona, papierowy poradnik o bezpieczeństwie cyfrowym dla seniorów, położony obok telefonu, działa często lepiej niż długie przemowy.
Co warto zapamiętać
SMS podatkowy, który Cię ponagla, obiecuje zwrot i prosi o kartę płatniczą, łączy w sobie trzy sygnały ostrzegawcze naraz. Żaden z tych trzech elementów nie występuje w prawdziwej komunikacji DGFiP.
Fałszywy SMS od skarbówki nie jest wyrafinowanym oszustwem. To oszustwo dobrze zsynchronizowane, które pożycza od kalendarza podatkowego wiarygodność, jakiej samo nie ma, i liczy na to, że nikt nie wie dokładnie, w jaki sposób administracja się komunikuje. Odpowiedź jest zawsze ta sama i jest bezpłatna: zamknąć wiadomość, samemu wejść na impots.gouv.fr i przekazać SMS-a pod numer 33700. Trzydzieści sekund — i kampania bierze w łeb, zarówno dla Ciebie, jak i dla następnych, bo każde zgłoszenie zasila blokowanie numerów nadawczych.
