Бюро внутрішніх доходів Філіппін (BIR) спільно з Департаментом інформаційних та комунікаційних технологій (DICT) і підрозділами правоохоронних органів з протидії кіберзлочинності розслідує ймовірний витік даних відомства. Для платників податків практичне питання полягає в тому, що саме, якщо взагалі щось, було розкрито. Доки посадовці не повідомлять більше, захист платників податків від витоку даних BIR зводиться до пильності та посилення власного захисту.

Що відомо про ймовірний витік даних BIR

Наразі повідомлення стислі. За даними GMA News Online, BIR координує дії з DICT і підрозділами з протидії кіберзлочинності для розслідування ймовірного витоку даних відомства. Слово «ймовірний» тут має значення: у повідомленні не підтверджується, які саме дані були задіяні, скільки людей могло постраждати, як дані потрапили назовні або чи були вони опубліковані чи виставлені на продаж.

Це означає, що читачам слід уникати як припущення найгіршого, так і припущення, що нічого не сталося. Розслідування, подібні до цього, зазвичай потребують часу, щоб встановити, до чого було отримано доступ, ким і чи були серед цих даних особисті податкові записи. Ми не будемо робити припущень поза межами опублікованого і вважатимемо офіційні висновки BIR, DICT або правоохоронних органів авторитетним джерелом, щойно вони будуть оприлюднені.

Чому податкові записи є високоцінною ціллю для шахраїв

Навіть без деталей цієї справи корисно розуміти, чому податкові органи привертають увагу. Податкові справи зазвичай об'єднують повне ім'я людини, адресу, ідентифікаційні дані платника податків, інформацію про роботодавця та доходи в одному місці. Ця комбінація корисна для шахраїв, оскільки дозволяє їм звучати переконливо.

Якби такі записи дійсно витекли, основними ризиками були б:

  • Цільовий фішинг: повідомлення, які посилаються на реальні деталі, як-от ваш роботодавець чи подання декларації, щоб виглядати як офіційне листування BIR.
  • Незаконне використання особистих даних: спроби відкрити рахунки або подати заявки з використанням ваших особистих даних.
  • Шахрайство з самозванством: дзвінки чи повідомлення, що нібито надходять від податкової служби і вимагають термінової оплати або «перевірки».

Ця схема не є унікальною для однієї країни. У нашому посібнику про повідомлений витік даних DHS, що торкнувся 41 000 співробітників висловлюється схожа думка: особисті записи, пов'язані з державною роботою, рідко залишаються конфіденційними після витоку, і подальші шахрайські схеми часто мають більше значення, ніж сам витік.

Що вимагає Закон про захист даних після порушення

На Філіппінах обробка персональних даних регулюється Законом про захист даних, який контролює Національна комісія з питань приватності (NPC). У вихідній статті не описуються жодні кроки щодо повідомлення, вжиті в цій справі, тому ми не можемо сказати, що було або не було подано. Загалом, закон покладає на державні установи та інших контролерів персональної інформації зобов'язання захищати дані, які вони зберігають, а також існують правила повідомлення про порушення для інцидентів із персональними даними, які можуть наражати людей на ризик.

Що читачі можуть розумно зробити, так це стежити за офіційними повідомленнями. Якщо BIR або NPC оприлюднить повідомлення чи рекомендацію, це має відбуватися через їхні перевірені канали. Це також корисний фільтр: повідомлення, що нібито стосується витоку і надходить із невідомого номера або схожої на справжню електронної адреси, заслуговує на підозру, а не на клік.

Подібні питання виникали й в інших випадках. У нашому матеріалі про справу про витік даних Star Hospitals, відкриту в Хайдарабаді, історія перейшла від виявлення до офіційної поліцейської справи — нагадування про те, що офіційні процеси часто йдуть за першими повідомленнями.

Як платники податків можуть перевірити фішинг і незаконне використання особистих даних

Не потрібно чекати на підтвердження, щоб вжити розумних запобіжних заходів. Ці кроки малозатратні й корисні незалежно від того, чим закінчиться розслідування.

  1. Ставтеся до повідомлень на податкову тематику з обережністю. Скептично сприймайте електронні листи, повідомлення чи дзвінки про повернення коштів, штрафи, аудити або «перевірку облікового запису», особливо якщо вони створюють відчуття терміновості.
  2. Звертайтеся до джерела самостійно. Замість переходу за посиланням введіть офіційну веб-адресу установи в браузері або скористайтеся контактним номером з офіційного джерела.
  3. Ніколи не повідомляйте одноразові паролі чи повні ідентифікаційні номери у відповідь на небажаний запит.
  4. Зміцніть свої облікові записи. Використовуйте унікальні паролі, менеджер паролів і двофакторну автентифікацію для електронної пошти, банківських та будь-яких урядових порталів.
  5. Перегляньте свої записи. Перевіряйте виписки з банку та електронного гаманця, а також будь-яку активність урядових облікових записів на предмет того, чого ви не впізнаєте.
  6. Захистіть свою електронну пошту. Ваша електронна пошта часто є ключем до скидання інших облікових записів, тому захистіть її насамперед.

Що це означає для вас

На цьому етапі немає підтвердженого публічного висновку про те, що ваші персональні дані були розкриті. Відповідальна позиція — бути поінформованим і готовим, а не панікувати. Якщо розслідування підтвердить, що податкові записи були задіяні, люди, які вже посилили безпеку своїх облікових записів і навчилися розпізнавати шахрайство на податкову тематику, опиняться в набагато сильнішій позиції.

VPN не вирішує проблему витоку в державній установі, оскільки відповідні дані зберігаються в установі, а не на вашому пристрої. Він може додати рівень захисту в публічних мережах Wi-Fi, але наведені вище кроки тут мають значно більше значення.

Ключові висновки

  • Стежте за офіційними повідомленнями BIR і Національної комісії з питань приватності та покладайтеся лише на перевірені канали.
  • Будьте обережні з будь-яким повідомленням, дзвінком чи текстом на податкову тематику, особливо тими, що вимагають термінових дій або особистих даних.
  • Увімкніть двофакторну автентифікацію та використовуйте унікальні паролі для електронної пошти, банківських і урядових облікових записів.
  • Відстежуйте свої фінансові рахунки на предмет незнайомої активності.
  • Для отримання додаткових практичних кроків після розкриття державних даних прочитайте наш посібник із захисту від витоку DHS.

Ми оновлюватимемо наш матеріал у міру того, як BIR, DICT і підрозділи з протидії кіберзлочинності ділитимуться новою інформацією про ймовірний витік. До того часу обережні звички залишаються найсильнішою формою захисту платників податків від витоку даних BIR, доступною вам.