Cyberbezpieczeństwo biura rachunkowego w sezonie PIT/CIT — jak się nie dać zhakować w szczycie sezonu

Sezon PIT/CIT to najbardziej niebezpieczny czas roku dla biura rachunkowego

Od lutego do końca kwietnia CERT Polska i NASK notują falę zgłoszeń związanych z fałszywymi wiadomościami podatkowymi — w sezonie rozliczeniowym 2025 do serwisu incydent.cert.pl i aplikacji mObywatel trafiło ponad 650 000 zgłoszeń, a niemal 300 000 podejrzanych SMS-ów przekazano na numer 8080 (NASK). To właśnie w tym oknie — między lutym a czerwcem — oszuści najintensywniej podszywają się pod urzędy skarbowe, licząc na to, że ktoś w pośpiechu kliknie link "do zwrotu podatku".

Dla biura rachunkowego ten sam okres oznacza coś więcej niż presję klientów i terminy. To moment, w którym przez jedną skrzynkę mailową przechodzą setki załączników od kilkudziesięciu firm naraz — PIT-y, JPK, zestawienia kosztów, skany faktur. Każdy z tych plików wygląda jak codzienna rutyna, więc żaden pracownik nie zastanawia się nad nim dłużej niż kilka sekund. Dokładnie na to liczą atakujący.

Dlaczego akurat teraz biura rachunkowe są najłatwiejszym celem?

W badaniu fillup k24 "Barometr nastrojów polskich księgowych 2026" 17% biur rachunkowych i działów finansowych przyznało, że w ciągu ostatnich 12 miesięcy doświadczyło incydentu naruszającego cyberbezpieczeństwo, a kolejne 21,4% nie potrafiło jednoznacznie odpowiedzieć, czy padło ofiarą ataku. Wśród zaatakowanych firm 60% incydentów zaczęło się od socjotechniki lub phishingu — nie od exploita, tylko od kliknięcia w załącznik, który wyglądał znajomo.

Szczyt sezonu rozliczeniowego potęguje ten efekt z kilku powodów naraz:

• Wolumen korespondencji rośnie kilkukrotnie. Biuro, które normalnie obsługuje kilkanaście maili dziennie z załącznikami, w marcu i kwietniu odbiera ich kilkadziesiąt — od dziesiątek różnych klientów, z różnych adresów, w różnych formatach.
• Presja terminu wyłącza czujność. Ustawowy termin 30 kwietnia dla PIT tworzy okno, w którym księgowa pod presją klienta podpisze albo otworzy prawie każdy dokument, byle zdążyć.
• Sezonowi i dorywczy pracownicy pomagają w szczycie, często bez pełnego przeszkolenia z procedur bezpieczeństwa obowiązujących na co dzień w biurze.
• Jedna skrzynka mailowa biura to dostęp do dziesiątek firm naraz — dla atakującego to znacznie bardziej opłacalny cel niż pojedyncze przedsiębiorstwo.

To właśnie dlatego, jak pisaliśmy już w tekście o tym, dlaczego biura rachunkowe są na celowniku hakerów, atakujący traktują kancelarie i biura księgowe jako "hurtownię danych" — jeden udany atak daje dostęp do informacji o wielu firmach jednocześnie.

Jakie ataki najczęściej trafiają do skrzynki biura w trakcie rozliczeń?

Według NASK między lutym a czerwcem fałszywe wiadomości podszywające się pod fiskusa wykorzystują niemal zawsze te same trzy tematy: "zarejestrowano nadpłatę podatku", "wszczęto kontrolę podatkową" oraz "twój zwrot czeka na potwierdzenie". Adres nadawcy i domena są spreparowane tak, by na pierwszy rzut oka przypominały oficjalny urząd.

W praktyce biura rachunkowe w sezonie PIT/CIT najczęściej spotykają się z czterema wariantami ataku:

• Fałszywe pisma z urzędu skarbowego — e-mail lub SMS z linkiem do "formularza zwrotu" albo informacją o rzekomej kontroli. Warto pamiętać: urząd skarbowy nie wysyła linków do logowania w e-mailu ani SMS-ie, a oficjalna korespondencja trafia pocztą lub przez zweryfikowane kanały rządowe.
• Business Email Compromise (BEC) — wiadomość rzekomo od klienta, informująca, że "zmienił się numer konta do zwrotu podatku" albo że "księgowość prosi o pilne przelanie zaliczki na inny rachunek". Bez telefonicznej weryfikacji taka wiadomość jest nie do odróżnienia od prawdziwej.
• Złośliwe załączniki podszywające się pod dokumenty księgowe — pliki nazwane jak "PIT-37_2025_korekta.pdf" albo "zestawienie_kosztow.xlsx", które w rzeczywistości instalują keyloggera lub otwierają zdalny dostęp do komputera.
• Fałszywe komunikaty o błędach w e-fakturach — wiadomości sugerujące problem z wysyłką lub odbiorem faktury, które prowadzą do strony logowania łudząco podobnej do systemu księgowego lub bankowości firmowej.

Wariant BEC bywa najbardziej dotkliwy, bo nie wymaga żadnego złośliwego oprogramowania — wystarczy jeden przekonujący e-mail w idealnym momencie. Typowy scenariusz wygląda tak: w środku marca, gdy księgowa obsługuje jednocześnie kilkanaście rozliczeń, przychodzi wiadomość rzekomo od stałego klienta z informacją, że urząd zwrócił nadpłatę na "nowe, tymczasowe konto" i prośbą o przekazanie tej informacji dalej albo o pilny przelew zaliczki. Bez telefonu do klienta pod znany numer taka wiadomość przechodzi niezauważona — a strata ujawnia się dopiero wtedy, gdy prawdziwy klient pyta, gdzie są jego pieniądze.

Szerzej o mechanice takich ataków i o tym, jak wygląda cała ścieżka od pierwszego maila do przejęcia skrzynki, pisaliśmy w artykule o phishingu wykorzystującym e-faktury i KSeF.

KSeF wystartował w środku sezonu — trwały grunt pod nadużycia

Od 1 lutego 2026 roku obowiązek wystawiania faktur w Krajowym Systemie e-Faktur objął duże firmy (obrót powyżej 200 mln zł), a od 1 kwietnia 2026 — wszystkich czynnych podatników VAT. Dla biur rachunkowych oznaczało to jednoczesne wdrożenie nowego, obowiązkowego systemu i pełny szczyt sezonu PIT — dwa źródła chaosu, które zbiegły się w tym samym kwartale. Ministerstwo Finansów zapowiadało, że luty–kwiecień 2026 będzie okresem kontroli edukacyjnych, ale ten bufor już minął — dziś, w drugiej połowie roku, błędy w obsłudze KSeF wiążą się z realnymi konsekwencjami, nie tylko pouczeniem.

Każde wdrożenie systemu na masową skalę pozostaje naturalną okazją dla oszustów, również długo po starcie: krążą fałszywe komunikaty "o błędzie integracji z KSeF", fałszywe instrukcje "aktualizacji certyfikatu", fałszywe maile "od Ministerstwa Finansów" z linkiem do rzekomej pomocy technicznej. Pracownik, który wciąż oswaja się z systemem albo obsługuje nowego klienta migrującego do KSeF, i jednocześnie ma na głowie kilkadziesiąt rozliczeń, jest znacznie bardziej skłonny kliknąć w link, który wygląda na oficjalny.

Niezależnie od tego, na jakim etapie wdrożenia KSeF jest dane biuro, warto trzymać się jednego prostego nawyku: żadna zmiana w systemie księgowym, płatności czy certyfikacie nie jest wprowadzana na podstawie samego maila — zawsze wymaga potwierdzenia przez znany, zweryfikowany kanał kontaktu.

A co z sezonem CIT? Presja nie kończy się w kwietniu

O sezonie PIT mówi się najgłośniej, bo dotyczy milionów podatników naraz, ale dla biura rachunkowego napięcie wcale nie znika po 30 kwietnia. Spółki rozliczające CIT na roku kalendarzowym składają CIT-8 do końca marca, jednak biura obsługujące klientów z przesuniętym rokiem podatkowym mają swoje "gorące" terminy rozsiane po całym roku — a każdy z nich wygląda dla atakującego identycznie: skrzynka pełna dokumentów finansowych i zespół, który nie ma czasu dokładnie czytać nadawcy.

W praktyce oznacza to, że okno podwyższonego ryzyka dla biura rachunkowego jest szersze, niż sugeruje sam kalendarz PIT. Procedury weryfikacji płatności i MFA nie powinny więc być traktowane jako "przygotowanie na kwiecień", tylko jako stały element pracy biura — z jednym zastrzeżeniem: w miesiącach szczytu (luty–kwiecień oraz okresy raportowania CIT) warto je dodatkowo przypomnieć zespołowi i sprawdzić, czy nikt nie poszedł na skróty pod presją terminu.

Ile kosztuje atak, który sparaliżuje biuro tuż przed 30 kwietnia?

Koszt pojedynczego incydentu bezpieczeństwa IT w polskim MŚP to średnio około 280 000 zł, a pełne odtworzenie działania firmy po ataku ransomware trwa zwykle około 21-22 dni roboczych. W większości branż to bolesne, ale możliwe do przetrzymania opóźnienie. W biurze rachunkowym w kwietniu to oznacza realną katastrofę — trzy tygodnie bez dostępu do systemu księgowego to trzy tygodnie, w których dziesiątki klientów nie mają szans złożyć PIT-u w terminie.

Na pełny koszt takiego zdarzenia składa się zwykle kilka elementów jednocześnie:

• Przestój operacyjny — utracony czas pracy całego zespołu, który nie ma dostępu do dokumentów klientów, to zwykle największa pojedyncza pozycja kosztowa, często liczona w setkach tysięcy złotych.
• Odzyskiwanie danych i informatyka śledcza — jeśli backup nie działał tak, jak zakładano, koszty przywracania systemów i ustalenia zakresu wycieku potrafią sięgnąć kilkudziesięciu tysięcy złotych.
• Kary UODO za brak zabezpieczeń — w 2025 roku Urząd Ochrony Danych Osobowych wydał 32 decyzje karne na łączną kwotę około 64,5 mln zł, a organ karze przede wszystkim brak udokumentowanych procedur, nie sam fakt ataku.
• Utrata klientów — biuro, które nie potrafi rozliczyć klienta w terminie z powodu awarii systemów, traci coś, czego nie odbuduje żadna rekompensata: zaufanie, na którym zbudowało relację przez lata.

Jak zabezpieczyć biuro rachunkowe, zanim zacznie się szczyt sezonu?

Najskuteczniejsze zabezpieczenia to te wdrożone w styczniu, a nie te planowane w kwietniu, gdy zespół już nie ma czasu na nic poza rozliczeniami. Kilka działań ma tu największe przełożenie na realne ryzyko:

• Uwierzytelnianie dwuskładnikowe na poczcie, systemie księgowym i bankowości firmowej. Samo hasło, nawet skomplikowane, dawno przestało wystarczać — więcej na ten temat pisaliśmy w artykule o uwierzytelnianiu dwuskładnikowym w firmie.
• Procedura telefonicznej weryfikacji każdej zmiany numeru konta bankowego czy danych do zwrotu podatku, zanim ktokolwiek w biurze przekaże dalej takie polecenie.
• Aktualny, przetestowany backup dokumentów i systemu księgowego, najlepiej z kopią offline lub w chmurze odizolowaną od głównej sieci — sam fakt posiadania kopii nic nie daje, jeśli nikt nie sprawdził, czy da się z niej realnie odtworzyć dane. Opisaliśmy to szerzej w tekście o kopiach zapasowych danych firmowych.
• Krótkie, obowiązkowe szkolenie dla stałego i sezonowego zespołu — bez wykładu o cyberbezpieczeństwie, za to z konkretnymi przykładami maili, które krążyły w poprzednich sezonach.
• Ograniczenie uprawnień tak, by dostęp do danych klientów i systemów płatności miały tylko osoby, którym jest on rzeczywiście potrzebny do pracy.
• Spisany plan reakcji na incydent — kto blokuje dostęp do skrzynki, kto informuje klientów, kto zgłasza sprawę do UODO i w jakim terminie. Sezon rozliczeniowy to najgorszy moment, żeby dopiero wtedy zastanawiać się, od czego zacząć.

Dla biura, które chce mieć pewność, że wszystkie te elementy faktycznie działają, a nie tylko istnieją na papierze, dobrym punktem wyjścia jest audyt bezpieczeństwa IT przeprowadzony jeszcze przed startem sezonu — najlepiej w styczniu, gdy jest jeszcze czas na wdrożenie poprawek.

Checklist na start sezonu rozliczeniowego

Zanim ruszy szczyt PIT i CIT, warto przejść przez krótką listę kontrolną — najlepiej z zespołem, nie samodzielnie:

1. Sprawdź, czy MFA jest włączone na wszystkich skrzynkach mailowych i w systemie księgowym.
2. Zweryfikuj, kiedy ostatni raz realnie testowano przywracanie danych z backupu.
3. Ustal i zapisz procedurę weryfikacji zmian numeru konta — kto dzwoni, do kogo, w jakim czasie.
4. Sprawdź, czy dostęp do KSeF i certyfikatów firmy mają wyłącznie osoby, które faktycznie tego potrzebują.
5. Przypomnij zespołowi — zwłaszcza osobom zatrudnionym na sezon — jak wyglądają typowe fałszywe maile z poprzednich lat.
6. Zaplanuj termin audytu bezpieczeństwa IT przed, a nie w trakcie szczytu sezonu.

Bezpieczeństwo to nie dodatek do sezonu — to jego warunek

Sezon PIT/CIT co roku pokazuje tę samą prawidłowość: biura, które traktują cyberbezpieczeństwo jako coś do ogarnięcia "po sezonie", zwykle płacą za to najwyższą cenę właśnie w trakcie sezonu. Kilka godzin poświęconych w styczniu na MFA, przetestowany backup i jasną procedurę weryfikacji płatności potrafi zaoszczędzić tygodnie przestoju w kwietniu.

Jeśli Twoje biuro działa w Częstochowie lub okolicach i chcesz sprawdzić, jak wygląda jego realna odporność przed startem sezonu, informatyk Częstochowa z ITFast może przeprowadzić audyt i wdrożyć zabezpieczenia, zanim zacznie się największy ruch w roku.