Het Bureau of Internal Revenue (BIR) van de Filipijnen werkt samen met het Department of Information and Communication Technology (DICT) en anticybercrimeteams van de politie om een vermeend lek van gegevens van het agentschap te onderzoeken. Voor belastingbetalers is de praktische vraag wat er, als er al iets, is blootgelegd. Totdat functionarissen meer zeggen, komt de bescherming van belastingbetalers tegen het BIR-datalek neer op waakzaam blijven en je eigen verdediging versterken.
Wat we weten over het vermeende BIR-lek
De berichtgeving tot nu toe is summier. Volgens GMA News Online coördineert de BIR met het DICT en anticybercrimeteams om een vermeend lek van gegevens van het agentschap te onderzoeken. Het woord "vermeend" is hier belangrijk: het bericht bevestigt niet om wat voor soort gegevens het gaat, hoeveel mensen mogelijk getroffen zijn, hoe de gegevens naar buiten zijn gekomen, of of ze ergens zijn gepubliceerd of te koop aangeboden.
Dat betekent dat lezers niet het ergste moeten aannemen, maar ook niet moeten aannemen dat er niets is gebeurd. Dit soort onderzoeken hebben doorgaans tijd nodig om vast te stellen wat er is ingezien, door wie, en of persoonlijke belastinggegevens er deel van uitmaakten. We zullen niet speculeren buiten wat er is gerapporteerd, en we zullen eventuele officiële bevindingen van de BIR, het DICT of de politie als het gezaghebbende verslag behandelen zodra deze worden vrijgegeven.
Waarom belastinggegevens een waardevol doelwit zijn voor fraude
Zelfs zonder details over deze zaak is het nuttig om te begrijpen waarom belastingdiensten aandacht trekken. Belastingdossiers brengen doorgaans iemands volledige naam, adres, gegevens van de belastingidentificatie, werkgever en inkomensinformatie op één plek samen. Die combinatie is nuttig voor oplichters, omdat ze daardoor overtuigend kunnen overkomen.
Als dergelijke gegevens wel zijn uitgelekt, zouden de belangrijkste risico's zijn:
- Gerichte phishing: berichten die verwijzen naar echte details, zoals je werkgever of een aangifte, om eruit te zien als officiële correspondentie van de BIR.
- Identiteitsmisbruik: pogingen om accounts te openen of aanvragen te doen met je persoonlijke gegevens.
- Nabootsingfraude: telefoontjes of sms'jes die beweren van een belastingkantoor te komen en dringend om betaling of "verificatie" vragen.
Dit patroon is niet uniek voor één land. Onze gids over een gemeld datalek bij DHS dat 41.000 medewerkers treft maakt een vergelijkbaar punt: persoonlijke gegevens die aan overheidswerk zijn gekoppeld, blijven zelden privé zodra ze ontsnappen, en de daaropvolgende oplichting is vaak belangrijker dan het lek zelf.
Wat de Data Privacy Act vereist na een datalek
In de Filipijnen valt de omgang met persoonsgegevens onder de Data Privacy Act, die wordt uitgevoerd door de National Privacy Commission (NPC). Het bronartikel beschrijft geen meldingsstappen die in deze zaak zijn genomen, dus we kunnen niet zeggen wat er wel of niet is ingediend. In algemene termen legt de wet verplichtingen op aan overheidsinstanties en andere verwerkingsverantwoordelijken voor persoonsgegevens om de gegevens die zij beheren te beschermen, en er bestaan regels voor datalekmeldingen voor incidenten met persoonsgegevens die mensen in gevaar kunnen brengen.
Wat lezers redelijkerwijs kunnen doen, is letten op officiële communicatie. Als de BIR of de NPC een kennisgeving of advies uitgeeft, zou dat via hun geverifieerde kanalen moeten komen. Dat is ook een nuttig filter: een bericht dat beweert over het lek te gaan en afkomstig is van een onbekend nummer of een op een bestaand adres lijkend e-mailadres, verdient argwaan, geen klik.
Vergelijkbare vragen zijn elders opgedoken. In onze berichtgeving over de datalekzaak bij Star Hospitals die in Hyderabad is geopend verschoof het verhaal van ontdekking naar een formele politiezaak, een herinnering dat officiële processen vaak volgen op de eerste berichten.
Hoe belastingbetalers kunnen controleren op phishing en identiteitsmisbruik
Je hoeft niet te wachten op bevestiging om verstandige voorzorgsmaatregelen te nemen. Deze stappen zijn goedkoop en nuttig, ongeacht hoe het onderzoek afloopt.
- Behandel berichten met een belastingthema met voorzichtigheid. Wees sceptisch over e-mails, sms'jes of telefoontjes over terugbetalingen, boetes, audits of "accountverificatie," vooral als ze urgentie creëren.
- Ga zelf naar de bron. In plaats van op een link te klikken, typ je het officiële webadres van het agentschap in je browser of gebruik je een contactnummer uit een officiële bron.
- Deel nooit eenmalige wachtwoorden of volledige ID-nummers in reactie op een ongevraagd verzoek.
- Versterk je accounts. Gebruik unieke wachtwoorden, een wachtwoordmanager en tweefactorauthenticatie voor e-mail, bankieren en eventuele overheidsportaalaccounts.
- Controleer je gegevens. Bekijk je bank- en e-walletafschriften en alle activiteit op overheidsaccounts op dingen die je niet herkent.
- Houd je e-mail veilig. Je e-mail is vaak de sleutel tot het resetten van andere accounts, dus bescherm die als eerste.
Wat dit voor jou betekent
In dit stadium is er geen bevestigde openbare bevinding dat je persoonlijke gegevens zijn blootgelegd. De verantwoordelijke houding is op de hoogte blijven en je voorbereiden, niet in paniek raken. Als het onderzoek wel bevestigt dat belastinggegevens erbij betrokken waren, zullen mensen die hun accountbeveiliging al hebben versterkt en hebben geleerd om oplichting met een belastingthema te herkennen, in een veel sterkere positie verkeren.
Een VPN lost een lek bij een overheidsinstantie niet op, omdat de gegevens in kwestie door de instantie worden beheerd, niet op je apparaat. Het kan een extra beschermingslaag bieden op openbare wifi, maar de bovenstaande stappen zijn hier veel belangrijker.
Belangrijkste punten
- Let op officiële kennisgevingen van de BIR en de National Privacy Commission, en vertrouw alleen op geverifieerde kanalen.
- Wees op je hoede voor elk bericht, telefoontje of sms'je met een belastingthema, vooral diegene die om dringende actie of persoonlijke gegevens vragen.
- Schakel tweefactorauthenticatie in en gebruik unieke wachtwoorden voor e-mail, bankieren en overheidsaccounts.
- Houd je financiële accounts in de gaten op onbekende activiteit.
- Voor meer praktische stappen na blootstelling van overheidsgegevens, lees onze DHS-lekbeschermingsgids.
We zullen onze berichtgeving bijwerken zodra de BIR, het DICT en anticybercrimeteams meer delen over het vermeende lek. Tot die tijd blijven zorgvuldige gewoonten de sterkste vorm van bescherming van belastingbetalers tegen het BIR-datalek die je ter beschikking staat.
