Лист від ДПС про податковий борг: як розпізнати фішинг
Лист від ДПС про податковий борг, який прийшов на звичайну пошту з вкладенням .pdf, .zip чи .exe, найімовірніше фішинг. 4 листопада 2026 року податкова служба попередила про масову розсилку таких листів зі шкідливими програмами. Справжні документи про борг ДПС відображає в Електронному кабінеті або надсилає рекомендованим листом (стаття 42 Податкового кодексу).
Такий лист зазвичай отримує бухгалтер, і саме на його комп’ютері лежать ключі КЕП, банк-клієнт і доступ до кабінету платника. Тому одна необережна дія коштує дорожче, ніж здається. Розбираємо, як відрізнити підробку від справжньої податкової вимоги і що зробити в компанії вже цього тижня.
Що змінилося: попередження ДПС від 4 листопада 2026 року
За даними ДПС, платникам масово приходять листи начебто від податкової з темою про нарахування податкового боргу (повідомлення ДПС). Їх надсилають зі сторонніх адрес, а у вкладеннях або за посиланнями приховано програму для віддаленого доступу до комп’ютера. ДПС називає типові вкладення: файли .pdf, .zip, .rar, а також .exe і .scr.
Податкова нагадує: офіційні адреси служби мають домен @tax.gov.ua, загальна пошта post@tax.gov.ua. Лист з іншого домену є явною ознакою підробки. Додамо від себе: адресу відправника шахраї теж уміють підробляти, тому навіть «правильний» домен не доказ. Доказ один: документ є у вашому Електронному кабінеті.
Як ДПС насправді надсилає податкову вимогу
Порядок прямо прописаний у Податковому кодексі. За пунктом 42.1 документи ДПС з питань податків, перевірок і звірок мають бути письмовими, підписаними і відображатися в електронному кабінеті. За пунктом 59.1 податкову вимогу при боргу надсилають так само, як податкове повідомлення-рішення.
| Ознака | Справжній документ ДПС | Фішинговий лист |
|---|---|---|
| Канал | Електронний кабінет (п. 42.4 ПКУ) або рекомендований лист з повідомленням про вручення чи особисте вручення (п. 42.5 ПКУ) | Звичайний e-mail на загальну або особисту скриньку |
| Де перевірити | Документ і квитанція про доставку є в Електронному кабінеті | У кабінеті документа немає |
| Вкладення | Документ підписаний і доступний для перегляду в кабінеті | Архіви .zip, .rar, файли .exe, .scr або «pdf» з посиланням на завантаження |
| Тон | Реквізити, сума, підстава, строки за ПКУ | Тиск: «терміново», «рахунки буде заблоковано сьогодні» |
Ще одна деталь з пункту 59.1: якщо загальна сума боргу не перевищує 180 неоподатковуваних мінімумів доходів громадян, податкову вимогу взагалі не надсилають. Тож лист про «борг» на кілька сотень гривень з вимогою відкрити архів має насторожити подвійно.
Кого стосується
- ТОВ і приватних підприємств, де бухгалтер працює з КЕП директора і банк-клієнтом на одному комп’ютері;
- громадських організацій і благодійних фондів: зламаний доступ до рахунку проєкту означає проблему не лише з податковою, а й з донором;
- представництв іноземних компаній, де пошту українською відкриває один офіс-менеджер;
- компаній на аутсорсингу бухгалтерії: фішинг може прийти і директору, і підряднику.
Що зробити і до якого строку
Строк один: зараз, поки розсилка триває. Ось короткий план для директора і головного бухгалтера.
- Перевірте, чи компанія подала заяву про отримання документів через Електронний кабінет. Якщо так, усі вимоги ДПС приходять туди, і «борг» з пошти перевіряється за дві хвилини.
- Домовтеся в команді про правило: лист про борг, штраф чи перевірку спершу звіряють з кабінетом, вкладення не відкривають.
- Зберігайте ключі КЕП на захищеному носії, а не у файлах на робочому столі, і не тримайте носій постійно підключеним.
- Увімкніть фільтр вкладень .exe, .scr і архівів з паролем на поштовому сервері.
- Якщо вкладення вже відкрили: від’єднайте комп’ютер від мережі, змініть паролі до кабінету і банку з іншого пристрою, зверніться до надавача довірчих послуг щодо блокування КЕП і повідомте банк.
Типові помилки
- Довіряють домену. Адреса з tax.gov.ua у полі «Від» ще не означає, що лист від ДПС. Перевіряйте документ у кабінеті.
- «Відкрию, щоб подивитися суму». Шкідлива програма запускається саме на цьому кроці.
- Перевіряють із того самого комп’ютера. Якщо вкладення вже відкрите, паролі міняють з іншого пристрою.
- Мовчать. Бухгалтер боїться зізнатися, і зловмисник має кілька днів доступу до банку. Правило «повідом одразу, без покарання» працює краще за заборони.
Схожа ситуація з перевіркою кабінету була після збою наприкінці жовтня: що саме тоді звіряти, ми описали в статті про збій Електронного кабінету ДПС. Строки листопада зібрані в календарі бухгалтера.
Часті запитання
Як перевірити, чи справжній лист від ДПС про податковий борг?
Зайдіть в Електронний кабінет окремо, не за посиланням з листа, і подивіться вхідні документи та стан розрахунків з бюджетом. Справжня податкова вимога за пунктом 42.1 ПКУ відображається в кабінеті.
Чи надсилає ДПС податкову вимогу електронною поштою?
Ні. Документи надсилають через Електронний кабінет, якщо платник подав відповідну заяву, або рекомендованим листом з повідомленням про вручення чи особисто (пункти 42.4 і 42.5 ПКУ).
Що робити, якщо бухгалтер уже відкрив вкладення?
Від’єднати комп’ютер від мережі, з іншого пристрою змінити паролі до кабінету і банку, звернутися до надавача довірчих послуг щодо блокування КЕП, повідомити банк і перевірити останні платежі.
Як ми допомагаємо
У межах бухгалтерського аутсорсингу ми щодня працюємо з Електронним кабінетом клієнта, звіряємо розрахунки з бюджетом і відповідаємо на справжні вимоги ДПС у строк. Вартість від 5 000 грн на місяць для ТОВ, точну суму покаже калькулятор. Якщо отримали підозрілий лист чи вимогу, напишіть нам.
Підготувала Команда МК Аудит