Phishing de KSeF i quishing amb QR: com reconèixer notificacions de factura falses

CERT Polska va registrar 260.783 incidents de ciberseguretat el 2025, un augment interanual del 152 %. Quatre dies després del llançament obligatori de KSeF l'1 de febrer de 2026, va aparèixer la primera onada de phishing suplantant KSeF. CERT Polska va publicar l'alerta 48/2026 el 17 d'abril de 2026, sobre notificacions falses de "nova factura a KSeF" per correu que distribueixen malware.

Els patrons de phishing

Patró 1: Correu fals de notificació de KSeF

El correu sembla venir de KSeF o del Ministeri d'Hisenda. Afirma que hi ha una nova factura esperant a la safata de KSeF. Conté un enllaç a una pàgina d'inici de sessió falsa que roba credencials, o un adjunt que instal·la malware.

Senyals d'alarma:

• El domini del remitent no és ksef.podatki.gov.pl ni podatki.gov.pl
• L'URL de l'enllaç no comença per https://ksef.podatki.gov.pl/ ni https://aplikacja-podatnika.mf.gov.pl/
• El correu us demana iniciar sessió a través d'un enllaç (KSeF no envia enllaços d'inici de sessió per correu)
• El correu conté un adjunt (KSeF no envia factures com a adjunts de correu)
• El correu fa servir llenguatge d'urgència ("actueu ara", "la factura caduca")

Patró 2: Quishing amb QR a visualitzacions de factures

L'estafador pren la visualització en PDF d'una factura KSeF legítima i substitueix el codi QR per un de maliciós. Quan el destinatari escaneja el QR amb el telèfon, s'obre un lloc de phishing o es descarrega malware.

Senyals d'alarma:

• L'URL del codi QR no coincideix amb ksef.podatki.gov.pl
• En escanejar el QR s'obre una pàgina que demana credencials d'inici de sessió
• El codi QR té un aspecte distint al de factures anteriors del mateix proveïdor (una altra mida, posició o estil)
• El PDF va arribar per correu, no a través de KSeF

Patró 3: Falsos "noves dades bancàries" usant l'autoritat de KSeF

L'estafador envia un correu fent-se passar per un proveïdor conegut, referenciant un número de factura KSeF recent (que pot haver obtingut d'un compte de correu compromès). El correu afirma que el proveïdor ha canviat de compte bancari i que els pagaments futurs han d'anar al compte nou.

Senyals d'alarma:

• La notificació del canvi de compte arriba només per correu, sense la factura KSeF corresponent
• El compte bancari nou no figura a la biała lista per al NIP del proveïdor
• L'adreça de correu difereix de la correspondència anterior (encara que sigui mínimament: un caràcter canviat)

Com verificar

1. Comproveu KSeF directament. Entreu a Aplikacja Podatnika o al programari de facturació. Si hi ha una factura nova, hi serà. No feu clic a enllaços de correu per comprovar-ho.
2. Verifiqueu el domini del remitent. Les comunicacions oficials de KSeF venen de podatki.gov.pl o mf.gov.pl. Qualsevol altre domini no és oficial.
3. No escanegeu codis QR de PDF rebuts per correu. Si cal verificar una factura KSeF, busqueu-la per número KSeF a Aplikacja Podatnika. El codi QR oficial es verifica a través del portal de KSeF.
4. Truqueu al proveïdor. Davant qualsevol canvi de dades bancàries, truqueu amb un número dels vostres registres. No el del correu.

Què fer si sou objectiu d'un atac

1. No feu clic a enllaços ni obriu adjunts.
2. Informeu CERT Polska a incydent@cert.pl o a través de moje.cert.pl.
3. Esborreu el correu. No el reenvieu internament.
4. Si ja heu fet clic: desconnecteu-vos de la xarxa, executeu una anàlisi de malware, canvieu les credencials que vau introduir a la pàgina falsa.
5. Si ja heu pagat al compte d'un estafador: contacteu amb el banc de seguida. La devolució pot ser possible si es notifica en qüestió d'hores. Presenteu una denúncia policial.

Aquest material és informació de caràcter general i no constitueix assessorament legal ni fiscal. Per a una situació concreta, verifiqueu la normativa vigent o consulteu un assessor qualificat.