El Buró de Rentas Internas (BIR, por sus siglas en inglés) de Filipinas está trabajando con el Departamento de Tecnologías de la Información y las Comunicaciones (DICT) y unidades de aplicación de la ley contra el cibercrimen para investigar una presunta filtración de datos de su agencia. Para los contribuyentes, la pregunta práctica es qué se expuso, si es que se expuso algo. Hasta que los funcionarios digan más, la protección del contribuyente ante la filtración de datos de la BIR se reduce a mantenerse alerta y reforzar tus propias defensas.
Lo que sabemos sobre la presunta filtración de la BIR
Lo reportado hasta ahora es breve. Según GMA News Online, la BIR está coordinando con el DICT y las unidades contra el cibercrimen para investigar una presunta filtración de datos de la agencia. La palabra "presunta" importa aquí: el informe no confirma qué tipo de datos estaban involucrados, cuántas personas podrían verse afectadas, cómo se filtraron los datos ni si han sido publicados u ofrecidos en venta en algún lugar.
Eso significa que los lectores deben evitar asumir lo peor, y también evitar asumir que no pasó nada. Investigaciones como esta suelen necesitar tiempo para establecer qué se accedió, por quién y si los registros personales de los contribuyentes formaron parte de ello. No especularemos más allá de lo que se ha reportado, y trataremos cualquier hallazgo oficial de la BIR, el DICT o las autoridades como el registro autoritativo una vez que se publiquen.
Por qué los registros fiscales son un objetivo de alto valor para el fraude
Incluso sin los detalles de este caso, ayuda entender por qué las agencias tributarias atraen atención. Los archivos fiscales tienden a vincular el nombre completo de una persona, su dirección, los detalles de identificación del contribuyente, el empleador y la información de ingresos en un solo lugar. Esa combinación es útil para los estafadores porque les permite sonar convincentes.
Si tales registros se filtraran, los principales riesgos serían:
- Phishing dirigido: mensajes que hacen referencia a detalles reales, como tu empleador o una declaración, para parecer correspondencia oficial de la BIR.
- Uso indebido de identidad: intentos de abrir cuentas o realizar solicitudes usando tus datos personales.
- Estafas de suplantación: llamadas o mensajes de texto que afirman ser de una oficina tributaria y exigen pago urgente o "verificación."
Este patrón no es exclusivo de un país. Nuestra guía sobre una presunta filtración de datos del DHS que afectó a 41.000 empleados plantea un punto similar: los registros personales vinculados al trabajo gubernamental rara vez permanecen privados una vez que se escapan, y las estafas posteriores suelen importar más que la filtración en sí.
Qué exige la Ley de Privacidad de Datos tras una brecha
En Filipinas, el manejo de datos personales se rige por la Ley de Privacidad de Datos, supervisada por la Comisión Nacional de Privacidad (NPC). El artículo fuente no describe ningún paso de notificación tomado en este caso, por lo que no podemos decir qué se ha presentado o no. En términos generales, la ley impone obligaciones a las agencias gubernamentales y otros responsables del tratamiento de información personal para proteger los datos que poseen, y existen normas de notificación de brechas para incidentes que involucren datos personales que podrían poner a las personas en riesgo.
Lo que los lectores pueden hacer razonablemente es estar atentos a las comunicaciones oficiales. Si la BIR o la NPC emiten un aviso o una advertencia, debería llegar a través de sus canales verificados. Eso también es un filtro útil: un mensaje que afirme tratar sobre la filtración y que llegue desde un número desconocido o una dirección de correo electrónico similar merece sospecha, no un clic.
Preguntas similares han surgido en otros lugares. En nuestra cobertura del caso de brecha de datos de Star Hospitals abierto en Hyderabad, la historia pasó del descubrimiento a un caso policial formal, un recordatorio de que los procesos oficiales a menudo siguen a los primeros informes.
Cómo los contribuyentes pueden detectar el phishing y el uso indebido de identidad
No necesitas esperar una confirmación para tomar precauciones sensatas. Estos pasos son de bajo costo y útiles independientemente de cómo termine la investigación.
- Trata los mensajes relacionados con impuestos con cautela. Sé escéptico ante correos electrónicos, mensajes de texto o llamadas sobre reembolsos, penalizaciones, auditorías o "verificación de cuenta," especialmente si crean urgencia.
- Acude a la fuente por ti mismo. En lugar de hacer clic en un enlace, escribe la dirección web oficial de la agencia en tu navegador o usa un número de contacto de una fuente oficial.
- Nunca compartas contraseñas de un solo uso ni números de identificación completos en respuesta a una solicitud no solicitada.
- Refuerza tus cuentas. Usa contraseñas únicas, un gestor de contraseñas y autenticación de dos factores en el correo electrónico, la banca y cualquier cuenta de portal gubernamental.
- Revisa tus registros. Comprueba tus extractos bancarios y de monederos electrónicos y cualquier actividad en cuentas gubernamentales en busca de algo que no reconozcas.
- Mantén tu correo electrónico seguro. Tu correo electrónico suele ser la llave para restablecer otras cuentas, así que protégelo primero.
Qué significa esto para ti
En esta etapa, no hay un hallazgo público confirmado de que tus datos personales se hayan expuesto. La posición responsable es mantenerse informado y preparado, no entrar en pánico. Si la investigación confirma que los registros de contribuyentes estuvieron involucrados, las personas que ya hayan reforzado la seguridad de sus cuentas y aprendido a detectar estafas relacionadas con impuestos estarán en una posición mucho más fuerte.
Una VPN no soluciona una filtración en una agencia gubernamental, ya que los datos en cuestión los posee la agencia, no tu dispositivo. Puede añadir una capa de protección en Wi-Fi público, pero los pasos anteriores importan mucho más aquí.
Puntos clave
- Estate atento a los avisos oficiales de la BIR y de la Comisión Nacional de Privacidad, y confía solo en canales verificados.
- Desconfía de cualquier mensaje, llamada o texto relacionado con impuestos, especialmente los que soliciten acción urgente o datos personales.
- Activa la autenticación de dos factores y usa contraseñas únicas para el correo electrónico, la banca y las cuentas gubernamentales.
- Monitorea tus cuentas financieras en busca de actividad desconocida.
- Para más pasos prácticos tras la exposición de datos gubernamentales, lee nuestra guía de protección ante la filtración del DHS.
Actualizaremos nuestra cobertura a medida que la BIR, el DICT y las unidades contra el cibercrimen compartan más sobre la presunta filtración. Hasta entonces, los hábitos cuidadosos siguen siendo la forma más sólida de protección del contribuyente ante la filtración de datos de la BIR disponible para ti.
