Polska: fałszywe maile o JPK_VAT — jak chronić obsługę podatków w firmie budowlanej?

Co mówi oficjalne ostrzeżenie?

Nadawcy podszywają się pod Ministerstwo Finansów lub Krajową Administrację Skarbową i rozsyłają wiadomości zawierające linki albo załączniki. Ich celem może być pozyskanie danych osobowych, numerów kont, adresów poczty i haseł. Fałszywa strona ma wyglądać jak miejsce, w którym można wyjaśnić rzekomą nieprawidłowość podatkową.

MF podkreśla, że rzeczywiste powiadomienia KAS dotyczące JPK_VAT nie zawierają klikalnych linków ani żądania logowania. To informacja o opisanym rodzaju powiadomień, nie twierdzenie o każdej wiadomości wysyłanej przez administrację. Komunikat nie wprowadza nowego terminu podatkowego ani zmiany obowiązku składania JPK_VAT.

Ministerstwo Finansów — ostrzeżenie przed fałszywymi wiadomościami JPK_VAT, 16 października 2026

Nie pozwól, aby pilność zastąpiła weryfikację

Właściciel firmy często odbiera pocztę między dostawą materiału a rozmową z klientem. Zatrzymaj obsługę podejrzanej wiadomości, zanim otworzysz załącznik lub użyjesz proponowanej ścieżki logowania. Sam napis „Ministerstwo Finansów”, logo lub przekonujący opis nie wystarcza do uznania żądania za prawdziwe. Nie odpowiadaj danymi, których wiadomość rzekomo potrzebuje do weryfikacji.

Ustal z osobą prowadzącą księgowość niezależny kanał kontaktu: wcześniej znany numer telefonu lub dotychczasowy sposób komunikacji. Opisz, że pojawiło się podejrzane żądanie, zamiast przekazywać je jako potwierdzone polecenie urzędu. Gdy potrzebne jest sprawdzenie stanu sprawy, korzystaj z oficjalnego serwisu otwartego niezależnie od wiadomości.

Sprawdź zadanie, a nie tylko nazwę nadawcy

Rozdziel dwa pytania: czy wiadomość jest autentyczna oraz czy firma rzeczywiście ma kwestię podatkową do wyjaśnienia. Oszust może wykorzystać temat, który brzmi wiarygodnie dla firmy wystawiającej wiele faktur. Istnienie prawdziwej korekty w księgowości nie czyni otrzymanego linku bezpiecznym. Potwierdź konkretne działanie i jego podstawę w niezależnym obiegu.

Przykład organizacyjny: pracownik przesyła właścicielowi informację „trzeba poprawić JPK”. Właściciel nie powinien prosić o hasło do konta ani logować się przez link z przesłanej wiadomości. Najpierw ustala z księgowym, czy jest znana rzeczywista sprawa i kto ma ją obsłużyć. Taki podział zapobiega podwójnej pracy i przypadkowemu ujawnieniu danych.

Zapisz zgłoszenie bez kopiowania sekretów

Dla wewnętrznego śladu wystarczą data, temat podejrzanej wiadomości, osoba zgłaszająca i decyzja o dalszym sprawdzeniu. Nie umieszczaj haseł, kodów logowania ani pełnych danych bankowych w notatce o zdarzeniu. Oryginalną wiadomość zachowaj zgodnie z procedurą firmy, aby osoba odpowiedzialna mogła ją ocenić, ale nie rozpowszechniaj załącznika w grupie pracowników.

Jeżeli ktoś otworzył podejrzany element albo ujawnił dane, nie ukrywaj tego do końca dnia. Przekaż informację osobie odpowiedzialnej za obsługę informatyczną i odpowiednim instytucjom zależnie od rodzaju ujawnionych danych. Oficjalny komunikat kieruje również do zgłaszania incydentów CERT. Nie testuj ponownie podejrzanego linku, żeby udowodnić, że był szkodliwy.

Ministerstwo Finansów — ostrzeżenie przed fałszywymi wiadomościami JPK_VAT, 16 października 2026

Uzgodnij odpowiedzialność z księgowością

Sprawdź, kto odbiera korespondencję, kto kontroluje sprawę w oficjalnym serwisie i kto zatwierdza rzeczywistą korektę. Zastępstwo podczas urlopu również powinno mieć jasny zakres. W razie wątpliwości MF podaje oficjalną infolinię KAS 22 330 03 30. Numer do weryfikacji odczytaj z oficjalnego źródła, a nie z podejrzanej wiadomości.

Jeżeli ostatnio zmieniałeś księgowego, uporządkuj pełnomocnictwa i dostęp stosownie do ich rzeczywistego zakresu. Nie zastępuj formalnego upoważnienia przekazaniem prywatnego hasła. Osobno opisujemy październikowe zmiany dotyczące pełnomocnictw ogólnych; nie należy mylić ich z prawem do dowolnego logowania na cudze konto.

Pełnomocnictwo ogólne po październikowych zmianach

Ministerstwo Finansów — ostrzeżenie przed fałszywymi wiadomościami JPK_VAT, 16 października 2026

Oddziel przygotowanie dokumentów od kontroli podatkowej

Czytelny porządek ofert, faktur i ich wersji ułatwia rozmowę z księgowością, lecz nie zastępuje sprawdzenia żądania urzędu. W firmie remontowej warto wiedzieć, kto przechowuje ostatnią wersję dokumentu i komu zgłosić potrzebę wyjaśnienia. Bezpieczny proces powinien działać także wtedy, gdy właściciel jest na budowie i nie może od razu zająć się pocztą.

Chcesz ograniczyć czas przygotowania ofert i faktur? Vocalys pomaga opracować dokumenty z notatek głosowych. Sprawdź ich dane przed udostępnieniem. Funkcja ta nie potwierdza autentyczności maila, nie przejmuje konta podatkowego i nie zastępuje czynności księgowego związanych z JPK_VAT.

Karta do ponownego użycia

• Nie otwierać podejrzanych linków i załączników
• Nie wysyłać haseł ani kodów odpowiedzią na email
• Skontaktować się z księgowością znanym kanałem
• Rzeczywiste zadanie potwierdzić niezależnie
• Zdarzenie odnotować bez sekretów
• Ustalić odpowiedzialną osobę i dalsze zgłoszenie

Data otrzymania: […]
Temat wiadomości: […]
Osoba zgłaszająca: […]
Czy nastąpiło otwarcie lub ujawnienie danych — bez wpisywania samych danych: […]
Niezależny kontakt weryfikujący: […]
Decyzja i odpowiedzialna osoba: […]

Najlepsza reakcja organizacyjna to przerwać automatyczne wykonywanie poleceń z wiadomości i potwierdzić rzeczywistą sprawę niezależnie. Pilny temat podatkowy nie uzasadnia przekazywania haseł.