Wiadomości SMS o zwrocie podatku: fala smishingu DGFiP wymierzona w 12,6 miliona gospodarstw domowych tego lata

Każdego lata uruchamia się ten sam mechanizm: w przededniu wypłat zwrotów podatku oszuści masowo wysyłają SMS-y podszywające się pod DGFiP, by złapać w pułapkę podatników. W 2026 roku kampania osiągnęła bezprecedensową skalę: 12,6 miliona gospodarstw domowych otrzyma przelew z francuskiego Skarbu Państwa między 24 lipca (pierwsza fala) a 31 lipca (druga fala), a cyberprzestępcy dostosowują swoje wiadomości do tego kalendarza. Dla usługi SMS takiej jak Texto SMS Gratuit to okazja, by przypomnieć, dlaczego zaufanie do krótkiego numeru i krytyczne czytanie każdego linku pozostają Waszą najlepszą obroną.

Jak działa oszustwo

Schemat, udokumentowany przez Cybermalveillance.gouv.fr w ostrzeżeniu z 15 lipca 2026 r., jest już dobrze dopracowany. Otrzymujesz SMS — czasem e-mail lub połączenie telefoniczne — łudząco podobne do oficjalnej wiadomości Direction générale des Finances publiques. Komunikat ogłasza zwrot podatku w dokładnej kwocie (często od 187 € do 262 €, czasem więcej), z odliczaniem 48 godzin na „zatwierdzenie" przelewu. Osadzony link kieruje do fałszywej strony naśladującej impots.gouv.fr, która nakłania użytkownika do podania danych bankowych lub danych logowania do urzędu skarbowego.

Trzy sygnały powinny natychmiast zaalarmować:

• Numer nadawcy: prawdziwy SMS z DGFiP nigdy nie jest wysyłany ze standardowego francuskiego numeru komórkowego. Oficjalne kanały to konto osobiste na impots.gouv.fr, bezpieczna wiadomość na stronie lub e-mail kończący się na @dgfip.finances.gouv.fr.
• Adres URL linku: naśladuje oficjalny adres, ale używa egzotycznej domeny (impots-gouv-remboursement.com, dgfip-fr.net itp.). Małe h zastąpione dużym H, dodatkowa myślnik, sufiks .top lub .click to typowe oznaki.
• Żądanie danych bankowych: DGFiP nigdy nie prosi o Twój IBAN, numer karty ani dane logowania przez SMS. Prawdziwy zwrot wpływa automatycznie na konto już znane urzędowi skarbowemu.

Zdjęcie: Unsplash — jeden SMS na ekranie wystarczy, by uruchomić oszustwo bankowe na kilkaset euro.

Dlaczego ta fala jest szczególnie niebezpieczna

Trzy powody wyjaśniają ostrość kampanii 2026 roku. Po pierwsze, kalendarz podatkowy pasuje idealnie: podatnicy faktycznie oczekują przelewu, co obniża czujność. Gdy wiadomość przychodzi w odpowiednim momencie, z odpowiednią kwotą, pojawia się wątpliwość. Po drugie, przestępcy krzyżują teraz wiele baz danych z wcześniejszych wycieków: imię, nazwisko, adres, operatora, czasem nawet IBAN — to właśnie wydarzyło się podczas wycieku danych Free w 2024 roku, za który CNIL nałożyła karę. Po trzecie, jakość SMS-ów rośnie: brak rażących błędów ortograficznych, skopiowane logo, nienaganny ton administracyjny, a nawet nota prawna na końcu wiadomości. Krótko mówiąc, pułapka jest technicznie dobrze przygotowana.

Arcep i operatorzy wdrożyli kilka barier, ale nie łapią one wszystkiego: filtrowanie numerów premium, zgłaszanie do 33700, oznaczanie długich SMS-ów jako „potencjalny spam" na iPhone'ach i Androidach. Te zabezpieczenia nie zastępują ludzkiej czujności.

Właściwa postawa w trzech gestach

Wobec SMS-a zapowiadającego zwrot zastosuj zasadę trzech zerowych kliknięć:

1. Zero kliknięć w link. Wpisz sam impots.gouv.fr w pasek adresu przeglądarki. Jeśli zwrot faktycznie jest w toku, pojawi się on w Twoim koncie osobistym, w sekcji „Sytuacje konta".
2. Zero oddzwaniania na numer. Oszuści czasem zostawiają numer do oddzwonienia: to zagraniczna linia VoIP, taryfikowana po wysokiej cenie, która ma Cię utrzymać na linii. Natychmiast się rozłącz.
3. Zero przekazywania danych. Ani IBAN, ani hasła, ani kodu otrzymanego SMS-em. Żadna instytucja publiczna nie poprosi Cię o to przez SMS — to pewny znak oszustwa.

Jeśli otrzymałeś takiego SMS-a, prześlij go na 33700 (bezpłatna platforma zgłoszeń spamu SMS, obsługiwana przez operatorów pod kontrolą Arcep). Możesz też zgłosić fałszywą stronę w Signal-Spam oraz na Phishing Initiative.

Kliknąłeś? Oto kolejność działań

Nawet najostrożniejsi mogą dać się nabrać w zmęczony dzień. Jeśli kliknąłeś w link i wpisałeś dane, działaj w tej kolejności:

• W ciągu pierwszej godziny: natychmiast zgłoś blokadę karty bankowej w swoim banku. Każda minuta się liczy: większość oszustw uruchamia płatność online w ciągu kilku minut od wpisania danych.
• W ciągu 24 godzin: złóż zawiadomienie na platformie Perceval (perceval.interieur.gouv.fr) francuskiego Ministerstwa Spraw Wewnętrznych. Perceval zamienia Twoje zgłoszenie w akt przekazywany bezpośrednio policji lub żandarmerii.
• W ciągu 48 godzin: zmień hasła do swoich wrażliwych kont (bankowość online, główna poczta e-mail, impots.gouv.fr). Jeśli używałeś tego samego hasła w innym serwisie, zmień je również — to zasada credential stuffing, którą opisywaliśmy w naszym artykule o ochronie prywatności Twoich SMS-ów.
• W ciągu tygodnia: złóż skargę na komisariacie policji lub w żandarmerii albo za pośrednictwem formularza wstępnej skargi online. Artykuł 226-4-1 francuskiego Kodeksu karnego karze kradzież tożsamości cyfrowej rokiem więzienia i grzywną 15 000 €.

Zdjęcie: Unsplash — samodzielne sprawdzanie swoich kont online z poziomu przeglądarki pozostaje najskuteczniejszym zabezpieczeniem.

Sieć instytucjonalna za ostrzeżeniem

Walka z tymi oszustwami angażuje dziś cały ekosystem — i to dobra wiadomość. Cybermalveillance.gouv.fr publikuje ostrzeżenia i aktualizuje przewodnik „Uświadamianie i dobre praktyki"; DGFiP przypomina w swoich oficjalnych mediach społecznościowych, że nigdy nie prosi o dane bankowe przez SMS ani e-mail; operatorzy filtrują numery premium i blokują niektóre domeny na poziomie sieci; a 33700, który w 2026 roku obchodzi 18. urodziny, doprowadził do zamknięcia kilku tysięcy fałszywych numerów. Wreszcie Arcep przypomniała w swoim ostatnim raporcie o satysfakcji z operatorów we Francji, że walka ze spoofingiem (podszywaniem się pod numer) pozostaje priorytetem na lata 2026-2027, a system uwierzytelniania krótkich numerów jest właśnie wdrażany.

Co należy zapamiętać

• 12,6 miliona gospodarstw domowych jest objętych zwrotami podatku 24 i 31 lipca 2026 r.: to jest cel.
• DGFiP nigdy nie prosi o Twój IBAN, kartę bankową ani dane logowania przez SMS.
• Trzy odruchy: nie klikaj, nie oddzwaniaj, niczego nie przekazuj.
• W razie kliknięcia: blokada karty → Perceval → zmiana haseł → złożenie skargi.
• Każdy podejrzany SMS zgłaszaj na 33700, a każdą fałszywą stronę do Phishing Initiative.

Aby wysłać darmowego SMS-a bez podawania swojego numeru osobom trzecim i bez pozostawiania śladu, nasz formularz wysyłki pozostaje dostępny dla wszystkich, bez rejestracji. W razie pytań dotyczących poufności Twojej korespondencji możesz zapoznać się z naszą FAQ, informacjami prawnymi lub skontaktować się z nami.