Fałszywy SMS z Belastingdienst. 5 sygnałów, że to oszustwo

Dostajesz wiadomość z Belastingdienst: czeka na Ciebie zwrot podatku, ale urząd nie może przelać pieniędzy, ponieważ dane rachunku są nieaktualne. Wystarczy kliknąć, zalogować się przez DigiD i potwierdzić konto. Brzmi wiarygodnie? Właśnie taki schemat pojawił się pod koniec sierpnia 2026 roku. Fraudehelpdesk pokazał fałszywą wiadomość o zwrocie 410,30 euro, która prowadziła ofiarę do linku służącego do wyłudzenia danych.

Problem jest szczególnie niebezpieczny dla Polaków rozliczających podatek w Holandii. Zwrot z Belastingdienst nie jest niczym niezwykłym, a holenderskie nazwy urzędów, DigiD i MijnOverheid mogą sprawić, że dobrze przygotowana wiadomość wygląda oficjalnie. Jest jednak kilka zasad, które pozwalają rozpoznać oszustwo w kilkanaście sekund.

410,30 euro zwrotu? Ten schemat pojawił się 31 sierpnia

Fraudehelpdesk opublikował 31 sierpnia 2026 roku przykład fałszywej wiadomości rozsyłanej w imieniu Belastingdienst. Oszuści informowali odbiorcę, że deklaracja podatkowa za 2025 rok została rozpatrzona i przysługuje mu 410,30 euro zwrotu.

Na pierwszy rzut oka wszystko wyglądało profesjonalnie. W wiadomości znajdowały się informacje o roku podatkowym, numer sprawy, status rozliczenia i oficjalnie brzmiące określenia.

Dopiero później pojawiał się właściwy haczyk: rzekomy przelew nie mógł zostać wykonany, ponieważ urząd miał mieć nieaktualne dane bankowe. Odbiorca był proszony o ich ponowne potwierdzenie przez link.

Po potwierdzeniu pieniądze miały trafić na konto nawet w ciągu 1–2 godzin. To właśnie połączenie pieniędzy, pośpiechu i prostego rozwiązania ma skłonić odbiorcę do działania bez sprawdzania wiadomości.

Kilka dni wcześniej Fraudehelpdesk pokazywał niemal identyczny mechanizm. W innej fałszywej wiadomości obiecywano ten sam zwrot 410,30 euro, a odbiorca miał wejść do portalu, zalogować się przez DigiD i odebrać pieniądze w ciągu dwóch dni.

Schemat się zmienia, ale cel pozostaje ten sam: doprowadzić Cię do fałszywej strony i zdobyć dane.

5 sygnałów, że SMS z Belastingdienst jest fałszywy

Sam fakt otrzymania SMS-a nie oznacza jeszcze oszustwa. Belastingdienst potwierdza, że w określonych sytuacjach rzeczywiście komunikuje się z mieszkańcami przez SMS. Urząd jasno określa jednak granicę: nie prosi w takim SMS-ie o przekazanie pieniędzy lub danych osobowych przez link.

Pięć czerwonych flag powinno natychmiast wzbudzić Twoją czujność:

1. Wiadomość zawiera link do „odebrania zwrotu”. Oszust chce, żebyś przeszedł bezpośrednio z SMS-a na przygotowaną przez niego stronę.
2. Musisz podać dane bankowe, BSN albo inne dane osobowe. Belastingdienst nie prosi o takie informacje przez SMS, WhatsApp ani e-mail.
3. Pojawia się presja czasu. Zwrot „wygaśnie dzisiaj”, konto zostanie zablokowane albo musisz odpowiedzieć w ciągu kilku godzin. Taka presja ma ograniczyć czas na zastanowienie.
4. Wiadomość kieruje bezpośrednio do logowania DigiD. Samo logo DigiD i wygląd strony nie świadczą o jej autentyczności. Fałszywe strony potrafią bardzo dokładnie kopiować prawdziwy serwis.
5. Nadawca obiecuje szybki przelew po weryfikacji. „Potwierdź dane, a 410,30 euro trafi na konto w ciągu dwóch godzin” brzmi atrakcyjnie, ale jest typowym elementem phishingu.

Najbezpieczniejsza zasada jest prosta: nie przechodź do Mijn Belastingdienst, DigiD ani banku przez link z podejrzanej wiadomości. Otwórz samodzielnie oficjalną stronę lub aplikację.

Belastingdienst wysyła SMS-y, ale tych 3 rzeczy nie zrobi

To ważne, ponieważ stwierdzenie „Belastingdienst nigdy nie wysyła SMS-ów” byłoby nieprawdziwe.

Urząd może korzystać z SMS-ów. Jednocześnie oficjalnie informuje, że nie wykorzystuje ich do działań, które często pojawiają się w fałszywych wiadomościach.

Belastingdienst nie będzie przez SMS, WhatsApp, e-mail lub telefon:

1. prosił Cię o podanie danych płatniczych;
2. żądał przekazania danych osobowych przez wiadomość;
3. nakazywał natychmiastowego przelewu pieniędzy przez przesłany link.

Belastingdienst podkreśla też, że jeśli masz wątpliwości co do korespondencji, najlepiej zalogować się samodzielnie do Mijn Belastingdienst, Mijn Belastingdienst Zakelijk albo Mijn Toeslagen. Tam można sprawdzić, czy urząd rzeczywiście wysłał daną informację.

To jedna z najlepszych metod obrony przed phishingiem. Nie próbujesz oceniać, czy logo wygląda prawidłowo i czy niderlandzki w SMS-ie jest poprawny. Po prostu ignorujesz link i sprawdzasz sprawę bezpośrednio w urzędowym portalu.

Fałszywy DigiD to drugi krok. Tak przejmują Twoje dane

Wiadomość o zwrocie podatku często jest dopiero początkiem.

Po kliknięciu możesz zobaczyć stronę przypominającą DigiD, MijnOverheid lub Mijn Belastingdienst. Znajome logo i układ strony mają sprawić, że zaczniesz działać automatycznie. Fraudehelpdesk od dawna ostrzega przed wiadomościami podszywającymi się pod DigiD. W jednym ze schematów odbiorca otrzymywał informację o pieniądzach do odebrania i link. Po jego otwarciu był proszony o dane logowania DigiD lub dane bankowe. Problem nadal jest aktualny. 1 września 2026 roku, czyli dzień przed publikacją tego tekstu, Fraudehelpdesk pokazał kolejną fałszywą wiadomość podszywającą się pod DigiD. Tym razem oszuści twierdzili, że adres e-mail użytkownika wygasł i jeśli nie zostanie szybko potwierdzony, dostęp do DigiD może zostać ograniczony. To pokazuje, że przynęta nie zawsze musi dotyczyć zwrotu podatku. Raz jest nią 410,30 euro. Innym razem rzekoma blokada konta.

Wspólny element pozostaje ten sam: masz kliknąć, zanim zaczniesz sprawdzać.

„Dzwoni bank”. 4 sygnały, żeby natychmiast się rozłączyć

Przejęcie danych może uruchomić kolejny etap oszustwa. Telefonuje „pracownik banku” i twierdzi, że wykryto podejrzaną transakcję. Czasami zna Twoje nazwisko albo inne dane, dlatego rozmowa wydaje się jeszcze bardziej wiarygodna. Policja w Holandii regularnie publikuje sprawy dotyczące tzw. bankhelpdeskfraude. W jednym ze śledztw z 2026 roku oszuści działający w różnych częściach kraju wyłudzili od ofiar kilkaset tysięcy euro.

Są cztery sygnały, po których najlepiej natychmiast przerwać rozmowę:

1. rozmówca każe przelać pieniądze na „bezpieczne konto”;
2. prosi o podanie PIN-u lub kodów;
3. każe zainstalować program albo udostępnić ekran telefonu lub komputera;
4. informuje, że kurier lub „pracownik banku” odbierze kartę płatniczą.

Numer widoczny na ekranie również nie daje gwarancji bezpieczeństwa. Policja ostrzega, że przestępcy mogą manipulować identyfikacją numeru i sprawić, że wygląda on jak numer prawdziwej instytucji. W sierpniu 2026 roku policja informowała na przykład o 78-letnim mieszkańcu Vlaardingen, który w wyniku bankhelpdeskfraude stracił 15 tys. euro. Oszust przekonał go do podania PIN-u, a następnie bankowa karta została odebrana.

Nie oddzwaniaj więc na numer podany przez rozmówcę. Rozłącz się, znajdź oficjalny numer banku samodzielnie i dopiero wtedy skontaktuj się z instytucją.

Kliknąłeś w link? Te 5 rzeczy zrób od razu

Samo kliknięcie w podejrzany link nie zawsze oznacza, że pieniądze znikną z konta. Ryzyko rośnie jednak, jeśli podałeś login, hasło, kod DigiD, dane karty lub informacje bankowe.

Najważniejsze jest szybkie działanie:

1. Nie wpisuj już żadnych kolejnych danych. Zamknij fałszywą stronę.
2. Jeżeli podałeś dane bankowe, natychmiast skontaktuj się z bankiem. Jeśli doszło do przelewu na niewłaściwy rachunek, Belastingdienst również zaleca natychmiastowy kontakt z bankiem, ponieważ w niektórych przypadkach płatność może jeszcze zostać zatrzymana.
3. Jeżeli podałeś dane logowania DigiD, zmień dane dostępowe i skontaktuj się z DigiD. Fraudehelpdesk zaleca takie działanie osobom, które wpisały swoje dane na fałszywej stronie.
4. Sprawdź historię rachunku i kont. Szukaj transakcji albo zmian, których sam nie wykonywałeś.
5. Jeśli straciłeś pieniądze lub dane zostały wykorzystane, zgłoś sprawę. W przypadku oszustwa finansowego policja zaleca kontakt z bankiem oraz złożenie zawiadomienia.

Nie usuwaj od razu wiadomości, jeśli doszło do przestępstwa. SMS, adres strony, numer telefonu, potwierdzenia przelewów i zrzuty ekranu mogą później pomóc przy zgłoszeniu.

74 proc. dostało podejrzany kontakt. Skala jest ogromna

Phishing nie jest marginalnym problemem. Najnowsze dane CBS pokazują, że w 2025 roku 74 proc. osób w Holandii w wieku co najmniej 15 lat otrzymało przynajmniej raz telefon, e-mail lub inny komunikat, który prawdopodobnie pochodził od oszusta. Około 2 proc. wszystkich osób w wieku 15+ przyznało, że przynajmniej raz dało się nabrać. U około 0,9 proc. zakończyło się to utratą pieniędzy. CBS szacuje tę grupę na około 133 tys. osób. Jeszcze szerszy obraz pokazuje statystyka wszystkich przestępstw internetowych. W 2025 roku ofiarą przynajmniej jednego rodzaju przestępstwa lub incydentu online padło 16,8 proc. mieszkańców Holandii w wieku 15 lat i więcej, czyli około 2,5 mln osób.

W przypadku samego phishingu CBS wskazuje, że wśród ofiar pojawiały się między innymi:

• bankspoofing, czyli podszywanie się pod bank;
• fałszywe mandaty i faktury;
• fałszywe promocje;
• helpdeskfraude;
• oszustwa inwestycyjne.

W 2025 roku bankspoofing odpowiadał za 11,3 proc. ostatnich przypadków phishingu opisanych przez jego ofiary. To tłumaczy, dlaczego przestępcy tak chętnie łączą kilka marek zaufania w jednym ataku: najpierw Belastingdienst, później DigiD, a na końcu bank.

Fraudehelpdesk czy policja? Tu zgłosisz oszustwo

Nie każdy podejrzany SMS wymaga od razu zawiadomienia policji. Jeżeli dostałeś fałszywą wiadomość, ale nie straciłeś pieniędzy ani nie przekazałeś danych, możesz zgłosić ją do Belastingdienst lub Fraudehelpdesk. Belastingdienst ma osobną procedurę zgłaszania podejrzanych SMS-ów i WhatsAppów. Urząd prosi, aby nie odpowiadać na wiadomość i nie otwierać zawartego w niej linku. Fraudehelpdesk zbiera natomiast przykłady aktualnych oszustw. Dzięki zgłoszeniom powstają ostrzeżenia takie jak opublikowany 31 sierpnia przypadek zwrotu 410,30 euro.

Jeśli natomiast podałeś dane, ktoś wykonał nieautoryzowaną transakcję albo straciłeś pieniądze, zakres działania powinien być szerszy:

1. bank, gdy zagrożone są konto, karta lub przelew;
2. DigiD, gdy przekazałeś dane logowania;
3. Fraudehelpdesk, aby zgłosić próbę lub przypadek oszustwa i uzyskać poradę;
4. policja, gdy doszło do przestępstwa lub utraty pieniędzy;
5. Belastingdienst, gdy wiadomość podszywa się pod urząd.

Policja radzi ofiarom bankhelpdeskfraude, aby od razu skontaktowały się z bankiem, zablokowały rachunek lub kartę, jeśli to konieczne, i zgłosiły oszustwo.

Prawdziwa wiadomość czy phishing? Zastosuj zasadę 30 sekund

Nie musisz analizować adresu nadawcy znak po znaku ani sprawdzać, czy logo Belastingdienst ma właściwy odcień niebieskiego.

Jeśli SMS lub e-mail dotyczy zwrotu podatku, niedopłaty, DigiD albo danych bankowych, zastosuj prosty test:

1. nie klikaj w link;
2. nie odpowiadaj;
3. otwórz samodzielnie Mijn Belastingdienst albo Mijn Toeslagen;
4. sprawdź, czy znajduje się tam dana informacja;
5. jeśli chodzi o bank, skontaktuj się z nim przez numer znaleziony samodzielnie.

Belastingdienst sam wskazuje logowanie do własnych portali jako sposób na sprawdzenie, czy wiadomość rzeczywiście pochodzi z urzędu.

To może być szczególnie przydatne teraz. Pod koniec sierpnia i na początku września 2026 roku Fraudehelpdesk publikował kolejne fałszywe wiadomości podszywające się zarówno pod Belastingdienst, jak i DigiD.

Kwota może się zmienić. Nadawca może zmienić nazwę. Zamiast „zwrotu podatku” może pojawić się „nowa wiadomość”, „blokada DigiD” albo „nieaktualny numer rachunku”. Mechanizm pozostaje jednak podobny.

Dlatego następnym razem, gdy na ekranie telefonu zobaczysz atrakcyjne „Belastingdienst: zwrot podatku”, najważniejsze pytanie brzmi nie „ile dostanę?”, ale „czy ta informacja naprawdę znajduje się także w Mijn Belastingdienst?”

źródło: www.belastingdienst.nl, www.cbs.nl