Dla Polonii temat ma szczególne znaczenie. Wielu imigrantów rozlicza się przez numer ITIN zamiast SSN, korzysta z biur podatkowych prowadzonych przez znajomych lub rodzinę i nie zawsze pilnuje, kto ma dostęp do ich danych — numeru ubezpieczenia, kopii zeznań, dokumentów W-2. To właśnie te dane wystarczą oszustowi, by złożyć fałszywe zeznanie na cudze nazwisko i przechwycić zwrot podatku, zanim zrobi to prawowity podatnik.
Co to jest IP PIN i dlaczego działa
IP PIN to sześciocyfrowy numer generowany co roku na nowo, znany wyłącznie podatnikowi i IRS. Urząd wykorzystuje go do weryfikacji tożsamości przy składaniu zeznania — bez poprawnego kodu elektroniczne zeznanie zostanie odrzucone, a papierowe trafi do dodatkowej weryfikacji. Potwierdzone ofiary kradzieży tożsamości podatkowej dostają nowy IP PIN automatycznie co roku; pozostali mogą dołączyć do programu dobrowolnie przez narzędzie „Get an Identity Protection PIN” na IRS.gov, o ile potrafią zweryfikować swoją tożsamość online.
IRS podkreśla jedną zasadę bezpieczeństwa: numeru IP PIN nie wolno podawać nikomu poza samym IRS i zaufanym biurem podatkowym przygotowującym zeznanie. Urząd nigdy nie dzwoni, nie pisze e-maila ani SMS-a z prośbą o podanie tego kodu — każda taka wiadomość to próba oszustwa.
Podwójna weryfikacja i konto online jako druga linia obrony
Obok IP PIN, IRS zaleca uwierzytelnianie wieloskładnikowe (MFA) wszędzie tam, gdzie to możliwe — w programach podatkowych, poczcie elektronicznej, chmurze i systemach księgowych. Dla biur podatkowych obsługujących klientów MFA jest już obowiązkiem: reguła FTC Safeguards Rule wymaga jej stosowania do ochrony danych klientów, chyba że firma wdroży równoważne zabezpieczenie zatwierdzone pisemnie przez wyznaczoną osobę odpowiedzialną.
Drugim filarem jest założenie własnego IRS Online Account — bezpłatnego konta na IRS.gov, które pozwala sprawdzić status zwrotu, historię płatności i dane rozliczeniowe, a przy okazji odbiera oszustom możliwość założenia konta na czyjeś nazwisko. „Wykorzystanie uwierzytelniania wieloskładnikowego, kodów IP PIN i innych zabezpieczeń dodaje ważne warstwy ochrony danych podatników i biur podatkowych” — powiedział szef IRS Frank J. Bisignano, ogłaszając apel.
Jak w praktyce dochodzi do kradzieży
Najczęstszy scenariusz jest prosty: oszust wchodzi w posiadanie numeru SSN lub ITIN i podstawowych danych osobowych — z wycieku, phishingowego e-maila podszywającego się pod IRS, albo od nieuczciwego „doradcy” działającego bez licencji — i składa elektroniczne zeznanie na te dane jeszcze przed prawdziwym podatnikiem, wskazując własne konto bankowe do zwrotu. Poszkodowany dowiaduje się o problemie dopiero wtedy, gdy jego własne, prawdziwe zeznanie zostaje odrzucone przez system IRS jako duplikat. Rozwiązanie sprawy i odzyskanie należnego zwrotu bywa wtedy procesem trwającym wiele miesięcy.
Co zrobić już teraz
To dobry moment, by uzyskać IP PIN z wyprzedzeniem przed kolejnym sezonem rozliczeniowym — kod jest ważny tylko przez jeden rok kalendarzowy, więc trzeba go odnawiać co roku. Osoby korzystające z biura podatkowego powinny zapytać wprost, czy stosuje ono uwierzytelnianie wieloskładnikowe do ochrony dokumentów klientów — to pytanie, na które uczciwy preparer odpowie bez wahania. Warto też pilnować, komu udostępnia się kopie W-2, 1099 czy poprzednich zeznań — im mniej rąk trzyma te dokumenty, tym mniejsze ryzyko wycieku. Apel IRS i Security Summit to czwarta z pięciu odsłon tegorocznej kampanii „Protect Your Clients; Protect Yourself”; ostatnie spotkanie tegorocznego IRS Nationwide Tax Forum odbywa się 15–17 września 2026 w San Diego.
Materiał ma charakter informacyjny i nie stanowi porady podatkowej. Decyzję o sposobie zabezpieczenia danych i wyborze biura podatkowego warto skonsultować z licencjonowanym doradcą podatkowym.
Polscy księgowi i doradcy podatkowi z katalogu Polish Pages pomogą bezpiecznie rozliczyć się w USA i dobrać właściwe zabezpieczenia danych — sprawdź katalog finanse Polish Pages.
