フィリピンの国税局（BIR）は、情報通信技術省（DICT）およびサイバー犯罪対策法執行機関と協力して、同局のデータが漏洩したとされる件について調査を進めている。納税者にとって実務的な関心事は、何らかの情報が流出したのかどうか、そして流出したとすれば何が露出したのかという点である。当局がさらなる情報を公表するまで、BIRデータ漏洩に関する納税者保護は、警戒を怠らず自らの防御を強化することに尽きる。

BIR漏洩疑惑について現時点で分かっていること

これまでの報道は簡潔である。GMA News Onlineによれば、BIRはDICTおよびサイバー犯罪対策部門と連携し、同局のデータが漏洩したとの疑惑を調査している。「疑惑」という言葉がここでは重要である。この報道は、どのような種類のデータが関係していたのか、何人が影響を受ける可能性があるのか、データがどのように流出したのか、あるいはどこかで公開されたり販売されたりしているのかどうかを確認したものではない。

つまり読者は、最悪の事態を想定することも、何も起きていないと決めつけることも避けるべきである。この種の調査は通常、何が、誰によってアクセスされたのか、また個人の納税記録が含まれていたのかどうかを確定するのに時間を要する。我々は報道された以上のことを推測することはせず、BIR、DICT、または法執行機関からの公式な調査結果が公表された時点で、それを権威ある記録として扱う。

税務記録が詐欺にとって価値の高い標的である理由

本件の詳細がなくても、税務機関がなぜ注目を集めるのかを理解することは役立つ。税務ファイルは、個人の氏名、住所、納税者識別情報、勤務先、所得情報を一か所に結びつける傾向がある。この組み合わせは、詐欺師が説得力のある話をするために有用である。

もしそのような記録が実際に漏洩していた場合、主なリスクは以下の通りである。

  • 標的型フィッシング： 勤務先や申告内容など実際の詳細に言及することで、BIRからの公式な連絡のように見せかけるメッセージ。
  • 身元の悪用： 個人情報を使って口座を開設したり、申請を行ったりする試み。
  • なりすまし詐欺： 税務当局を名乗り、緊急の支払いや「確認」を求める電話やテキストメッセージ。

このパターンは一国に限ったものではない。41,000人の職員に影響を与えたとされるDHSデータ漏洩に関するガイドでも同様の指摘をしている。政府業務に関連する個人記録はひとたび流出すれば非公開のままではいられないことが多く、漏洩そのものよりも後続の詐欺の方が問題となることが多い。

情報漏洩後にデータプライバシー法が求めるもの

フィリピンでは、個人データの取り扱いは国家プライバシー委員会（NPC）が監督するデータプライバシー法の対象となる。元記事は本件で取られた通知手順について言及していないため、何が提出され、何がされていないかを述べることはできない。一般的に言えば、同法は政府機関やその他の個人情報管理者に対し、保有するデータを保護する義務を課しており、人々にリスクをもたらす可能性のある個人データに関わるインシデントについては漏洩通知規則が存在する。

読者が合理的にできることは、公式な連絡に注意を払うことである。BIRまたはNPCが通知や勧告を発出する場合、それは検証済みのチャネルを通じて行われるはずである。これは有用なフィルターにもなる。漏洩に関するものと称して未知の番号や似たようなメールアドレスから届くメッセージは、クリックするのではなく疑うに値する。

同様の疑問は他の地域でも提起されている。ハイデラバードで立件されたStar Hospitalsデータ侵害事件の報道では、話は発覚から正式な警察事件へと進展した。これは公式なプロセスが最初の報道に続いて行われることが多いことの証左である。

納税者がフィッシングと身元悪用を確認する方法

確認を待つ必要はなく、合理的な予防策を講じることはできる。以下の手順は低コストであり、調査がどのように終結するかに関わらず有用である。

  1. 税務関連のメッセージには注意を払う。 還付、罰則、監査、「アカウント確認」に関するメール、テキスト、電話には、特に緊急性を煽るものについては懐疑的になること。
  2. 自分で情報源にアクセスする。 リンクをクリックするのではなく、ブラウザに当局の公式ウェブアドレスを入力するか、公式ソースの連絡先番号を使用すること。
  3. 一発限りのパスワードや完全なID番号を、一方的な要求に応じて決して共有しないこと。
  4. アカウントを強化する。 固有のパスワード、パスワードマネージャー、およびメール、銀行、政府ポータルアカウントでの二要素認証を使用すること。
  5. 記録を確認する。 銀行やeウォレットの明細、および政府アカウントの活動を確認し、覚えのないものがないかチェックすること。
  6. メールのセキュリティを保つ。 メールは他のアカウントのリセットの鍵となることが多いため、まずメールを保護すること。

あなたにとっての意味

現段階では、あなたの個人データが露出したという確認された公的調査結果はない。責任ある立場は、パニックになることではなく、情報を入手し準備することである。調査により納税記録が関係していたことが確認された場合、すでにアカウントのセキュリティを強化し、税務関連の詐欺を見抜くことを学んだ人々は、はるかに強い立場に立つことになる。

VPNは政府機関での漏洩を修正するものではない。なぜなら問題のデータはあなたのデバイス上ではなく、機関が保有しているからである。VPNは公共Wi-Fi上で保護の層を追加することはできるが、ここでは上記の手順の方がはるかに重要である。

主なポイント

  • BIRおよび国家プライバシー委員会の公式通知に注意を払い、検証済みのチャネルのみに依拠すること。
  • 税務関連のあらゆるメッセージ、電話、テキスト、特に緊急の対応や個人情報を求めるものには警戒すること。
  • メール、銀行、政府アカウントの二要素認証を有効にし、固有のパスワードを使用すること。
  • 不審な活動がないか金融口座を監視すること。
  • 政府データ露出後のより実践的な手順については、DHS漏洩保護ガイドをお読みください。

BIR、DICT、サイバー犯罪対策部門が漏洩疑惑についてさらなる情報を共有次第、本報道を更新する。それまでは、慎重な習慣が、あなたが利用できるBIRデータ漏洩に関する納税者保護の最強の形態であり続ける。