Il Bureau of Internal Revenue (BIR) delle Filippine sta collaborando con il Department of Information and Communication Technology (DICT) e con le unità di polizia anti-cybercrime per indagare su una presunta fuga di dati dell'agenzia. Per i contribuenti, la domanda pratica è cosa, semmai, sia stato esposto. Finché i funzionari non diranno di più, la protezione dei contribuenti dalla fuga di dati del BIR si riduce a restare vigili e a rafforzare le proprie difese.

Cosa sappiamo della presunta fuga di dati del BIR

Le notizie finora sono brevi. Secondo GMA News Online, il BIR sta coordinando con il DICT e le unità anti-cybercrime per esaminare una presunta fuga di dati dell'agenzia. La parola "presunta" è importante: il rapporto non conferma che tipo di dati sia stato coinvolto, quante persone potrebbero essere interessate, come i dati siano fuoriusciti o se siano stati pubblicati o messi in vendita da qualche parte.

Ciò significa che i lettori dovrebbero evitare di presupporre il peggio, e anche di presupporre che non sia successo nulla. Indagini come questa richiedono tipicamente tempo per stabilire cosa sia stato consultato, da chi e se i dati fiscali personali dei contribuenti ne facessero parte. Non faremo speculazioni oltre quanto riportato e tratteremo qualsiasi risultato ufficiale del BIR, del DICT o delle forze dell'ordine come documentazione autorevole una volta pubblicato.

Perché i dati fiscali sono un obiettivo di alto valore per le frodi

Anche senza i dettagli di questo caso, è utile capire perché le agenzie fiscali attirano l'attenzione. I fascicoli fiscali tendono a collegare in un unico luogo il nome completo di una persona, l'indirizzo, i dettagli di identificazione fiscale, il datore di lavoro e le informazioni sul reddito. Questa combinazione è utile ai truffatori perché consente loro di risultare credibili.

Se tali dati fossero effettivamente trapelati, i rischi principali sarebbero:

  • Phishing mirato: messaggi che citano dettagli reali, come il tuo datore di lavoro o una dichiarazione, per sembrare corrispondenza ufficiale del BIR.
  • Uso improprio dell'identità: tentativi di aprire account o presentare richieste utilizzando i tuoi dati personali.
  • Truffe di impersonificazione: chiamate o SMS che affermano di provenire da un ufficio fiscale e richiedono pagamenti urgenti o "verifiche".

Questo schema non è esclusivo di un solo paese. La nostra guida su una presunta fuga di dati del DHS che ha colpito 41.000 dipendenti sottolinea un punto simile: i dati personali legati al lavoro governativo raramente restano privati una volta fuoriusciti, e le truffe successive spesso contano più della fuga stessa.

Cosa richiede il Data Privacy Act dopo una violazione

Nelle Filippine, il trattamento dei dati personali rientra nel Data Privacy Act, supervisionato dalla National Privacy Commission (NPC). L'articolo di origine non descrive alcuna procedura di notifica adottata in questo caso, quindi non possiamo dire cosa sia stato o non sia stato presentato. In termini generali, la legge impone obblighi alle agenzie governative e agli altri titolari del trattamento dei dati personali di proteggere i dati che detengono, e esistono norme sulla notifica delle violazioni per incidenti che coinvolgono dati personali che potrebbero mettere a rischio le persone.

Ciò che i lettori possono ragionevolmente fare è prestare attenzione alle comunicazioni ufficiali. Se il BIR o la NPC emettono un avviso o un'ordinanza, dovrebbe arrivare attraverso i loro canali verificati. Questo è anche un filtro utile: un messaggio che afferma di riguardare la fuga di dati e arriva da un numero sconosciuto o da un indirizzo email simile a quello ufficiale merita sospetto, non un clic.

Questioni simili sono emerse altrove. Nella nostra copertura del caso di violazione dei dati di Star Hospitals aperto a Hyderabad, la storia è passata dalla scoperta a un caso di polizia formale, un promemoria del fatto che i processi ufficiali spesso seguono i primi rapporti.

Come i contribuenti possono verificare phishing e uso improprio dell'identità

Non è necessario attendere una conferma per adottare precauzioni sensate. Questi passaggi sono economici e utili indipendentemente da come si concluderà l'indagine.

  1. Tratta con cautela i messaggi a tema fiscale. Sii scettico riguardo a email, SMS o chiamate su rimborsi, sanzioni, verifiche o "verifica dell'account", soprattutto se creano urgenza.
  2. Vai tu stesso alla fonte. Invece di cliccare su un link, digita l'indirizzo web ufficiale dell'agenzia nel browser o usa un numero di contatto da una fonte ufficiale.
  3. Non condividere mai password monouso o numeri di identificazione completi in risposta a una richiesta non sollecitata.
  4. Rafforza i tuoi account. Usa password uniche, un gestore di password e l'autenticazione a due fattori su email, banking e qualsiasi account di portali governativi.
  5. Controlla i tuoi registri. Verifica gli estratti conto bancari e degli e-wallet e qualsiasi attività sugli account governativi per qualcosa che non riconosci.
  6. Mantieni sicura la tua email. La tua email è spesso la chiave per reimpostare altri account, quindi proteggila per prima.

Cosa significa per te

In questa fase, non c'è alcuna constatazione pubblica confermata che i tuoi dati personali siano stati esposti. La posizione responsabile è restare informati e preparati, non farsi prendere dal panico. Se l'indagine dovesse confermare che i dati fiscali dei contribuenti sono stati coinvolti, le persone che hanno già rafforzato la sicurezza dei propri account e imparato a riconoscere le truffe a tema fiscale si troveranno in una posizione molto più solida.

Una VPN non risolve una fuga di dati presso un'agenzia governativa, poiché i dati in questione sono detenuti dall'agenzia, non sul tuo dispositivo. Può aggiungere un livello di protezione sulle reti Wi-Fi pubbliche, ma i passaggi sopra riportati contano molto di più in questo caso.

Punti chiave

  • Presta attenzione agli avvisi ufficiali del BIR e della National Privacy Commission e affidati solo a canali verificati.
  • Diffida di qualsiasi messaggio, chiamata o SMS a tema fiscale, soprattutto quelli che richiedono azioni urgenti o dati personali.
  • Attiva l'autenticazione a due fattori e usa password uniche per email, banking e account governativi.
  • Monitora i tuoi conti finanziari per attività sconosciute.
  • Per ulteriori passaggi pratici dopo l'esposizione di dati governativi, leggi la nostra guida alla protezione dalla fuga di dati del DHS.

Aggiorneremo la nostra copertura man mano che il BIR, il DICT e le unità anti-cybercrime condivideranno maggiori informazioni sulla presunta fuga di dati. Fino ad allora, le abitudini accurate restano la forma più forte di protezione dei contribuenti dalla fuga di dati del BIR a tua disposizione.