Poruka stigne s običnog mobilnog broja, kratka je i zvuči kao dobra vijest: odobren vam je povrat poreza i treba samo potvrditi podatke na poveznici. Tko ne bi kliknuo? Upravo na to računaju prevaranti. Porezna uprava i Nacionalni CERT sredinom listopada ponovno su upozorili građane na lažne SMS poruke u ime Porezne uprave, a cilj im je doći do vaših osobnih podataka i podataka s bankovne kartice.
Što se događa
Porezna uprava 14. listopada objavila je da su ponovno zaprimljene prijave o porukama u kojima se poreznim obveznicima javlja da im je odobren povrat poreza. Poruke stižu s različitih mobilnih brojeva, pa sam broj pošiljatelja ne mora ništa značiti. Dan kasnije, 15. listopada, Nacionalni CERT izdao je upozorenje na istu phishing kampanju i opisao kako ona izgleda iznutra. O prijevari su potom pisali i Hrvatska udruga za zaštitu potrošača, portal Mirovina.hr i Dnevno.hr.
Ovo nije prvi put. Porezna uprava upozoravala je na sličnu SMS kampanju krajem srpnja, kad su poruke vodile na lažnu domenu porezna-uprava.info. Adresa koja izgleda gotovo kao prava jedan je od najstarijih trikova, i zato ga prevaranti stalno ponavljaju.
Kako izgleda prijevara
Prema opisu CERT-a, poveznica iz poruke vodi na lažnu internetsku stranicu koja se predstavlja kao Porezna uprava. Prvo traži naizgled bezazlene podatke: ime i prezime, IBAN, broj mobitela i datum rođenja. Kad ste već u tom ritmu, slijedi drugi korak u kojem stranica traži podatke bankovne kartice, uključujući broj kartice, datum isteka i CVC kod sa stražnje strane.
Za stvarni povrat poreza nitko vam ne treba CVC kod. Taj broj služi za plaćanje karticom, a ne za primanje novca. Čim stranica traži podatke s kartice da bi vam nešto „uplatila“, to je jasan znak da nešto ne štima.
Stranica pritom može izgledati uvjerljivo, s logotipom i bojama koje podsjećaju na službene. CERT zato naglašava da naziv i logotip institucije nisu dokaz da je stranica prava. Jedino što stvarno vrijedi provjeriti jest adresa stranice u pregledniku.
Što Porezna uprava stvarno radi, a što ne
Najvažnije je zapamtiti nekoliko jednostavnih činjenica koje Porezna uprava navodi na svojim stranicama:
- Porezna uprava ne šalje obavijesti o povratu poreza SMS porukama.
- Ne šalje ni obavijesti o poreznom dugu SMS-om, pa ne plaćajte ništa na račun naveden u takvoj poruci.
- Nikada ne traži kontrolne brojeve vaših bankovnih računa.
- Za pristup njezinim aplikacijama prijavljujete se preko sustava e-Građani (NIAS). Jednokratne lozinke poslane porukom ili sam OIB nisu način na koji se kod nje prijavljujete, pa ako netko to traži, posumnjajte u prijevaru.
Isti obrazac pojavljuje se i u lažnim e-mailovima u ime Ministarstva financija i Porezne uprave. Neki od njih sadrže i QR kod koji ne treba skenirati, a često su puni gramatičkih pogrešaka.
Zašto ljudi nasjedaju
Povrat poreza nešto je što mnogi stvarno očekuju, pa poruka ne zvuči neobično. Za razliku od poruka koje prijete blokadom računa, ova obećava novac, a uz dobru vijest smo manje oprezni. Uz to, poruka stiže na mobitel, gdje je adresu stranice teže pročitati nego na računalu, a sve se obavi u par dodira.
Ovaj val stiže u mjesecu u kojem policija diljem Hrvatske prijavljuje i lažne SMS poruke u ime banaka, o „isteku“ ili „ažuriranju“ mobilnog bankarstva. O tome smo pisali u tekstu Lažni SMS banke traži „ažuriranje aplikacije“. Mijenja se samo ime institucije, a cilj je isti: da sami upišete podatke koji prevarantima otvaraju vaš račun.
Što učiniti ako dobijete ovakvu poruku
Savjeti CERT-a i Porezne uprave su jednostavni: ne otvarajte poveznicu, ne upisujte nikakve podatke i obrišite poruku. Ako želite provjeriti imate li stvarno pravo na povrat, učinite to sami, preko službenih stranica Porezne uprave ili sustava e-Građani, a ne preko poveznice iz poruke.
Ako vam je broj s kojeg je stigla poruka sumnjiv, možete ga provjeriti na tko-me-zvao.com.hr i vidjeti jesu li ga drugi već prijavili. Ako niste, ostavite prijavu i tako upozorite ljude koji takvu poruku tek trebaju dobiti. Imajte na umu da Porezna uprava kaže kako ove poruke stižu s različitih brojeva, pa broj bez prijava ne znači da je poruka sigurna.
Ako ste već upisali podatke
Ne čekajte. Ako ste na lažnoj stranici upisali podatke kartice, odmah nazovite svoju banku, recite da su podaci možda ukradeni i zatražite blokadu kartice. Pregledajte promet po računu i uključite obavijesti o transakcijama ako ih već nemate.
Ako ste upisali samo osobne podatke, poput imena, datuma rođenja i IBAN-a, budite posebno oprezni sljedećih tjedana. CERT upozorava da prevaranti takve podatke mogu iskoristiti kako bi idući pokušaj, bilo SMS-om, pozivom ili e-mailom, izgledao uvjerljivije. Netko vas može nazvati, znati vaše ime i broj računa i predstaviti se kao djelatnik banke. To ne znači da je poziv pravi.
Prijevaru prijavite policiji na broj 192 ili u najbližoj policijskoj postaji. Porezna uprava također upućuje one koji su postali žrtve da se obrate MUP-u. Sačuvajte poruku i snimke zaslona jer mogu pomoći u istrazi.
Recite i starijima
Poruke ovakvog tipa često završe kod roditelja i baka i djedova, koji možda i čekaju neki povrat. Dovoljno je jednom reći: „Porezna ne šalje SMS-ove s poveznicama. Ako dobiješ takav, nemoj ništa klikati, pokaži meni.“ Taj jedan razgovor može sačuvati nečiju ušteđevinu.
Izvori
- Porezna uprava (Obavijesti.hr): UPOZORENJE – lažne (smishing) SMS poruke! (14. 10. 2026.)
- Nacionalni CERT: Upozorenje: Lažne SMS poruke o povratu poreza (15. 10. 2026.)
- Porezna uprava: Upozorenje – lažne (phishing) poruke
- Hrvatska udruga za zaštitu potrošača: Upozorenje: Lažne SMS poruke o povratu poreza (16. 10. 2026.)
- Mirovina.hr: Prevaranti obećavaju povrat poreza: Šalju lažne SMS poruke u ime Porezne (16. 10. 2026.)
- Dnevno.hr: Stižu lažne poruke o povratu poreza: CERT upozorava na prijevaru (23. 10. 2026.)
- HRT: Porezna uprava upozorava na lažne SMS poruke oko povrata poreza (29. 7. 2026.)
Naslovna fotografija: Ron Lach, Pexels.