菲律宾国税局（BIR）正与信息与通信技术部（DICT）及反网络犯罪执法单位合作，调查其机构数据涉嫌泄露一事。对纳税人而言，实际问题在于究竟有哪些信息（如果有的话）被曝光。在官员公布更多信息之前，BIR数据泄露纳税人保护的关键在于保持警惕并加强自身的防护。
关于涉嫌BIR泄露，我们目前所知
目前的报道很简短。据GMA News Online报道，BIR正与DICT及反网络犯罪单位协调，调查其机构数据涉嫌泄露一事。“涉嫌”一词在此很重要：该报道并未确认涉及何种数据、可能影响多少人、数据如何外泄，或数据是否已在任何地方被公布或出售。
这意味着读者既应避免做最坏的假设，也应避免假设什么都没发生。此类调查通常需要时间来确定哪些数据被访问、被谁访问，以及个人纳税人记录是否在其中。我们不会超出已报道的内容进行推测，一旦BIR、DICT或执法部门发布任何官方调查结果，我们将将其视为权威记录。
为何税务记录是欺诈的高价值目标
即使没有本案的细节，理解税务机关为何引人关注也有帮助。税务档案往往将一个人的全名、地址、纳税人识别信息、雇主和收入信息集中在一处。这种组合对诈骗者很有用，因为它能让他们听起来可信。
如果此类记录确实泄露，主要风险将是：
- 定向网络钓鱼： 引用真实细节（如你的雇主或某次申报）的消息，使其看起来像BIR官方通信。
- 身份滥用： 利用你的个人信息尝试开立账户或提出申请。
- 冒充诈骗： 自称来自税务办公室并要求紧急付款或“验证”的电话或短信。
这种模式并非某个国家独有。我们关于据报道影响41,000名员工的DHS数据泄露的指南提出了类似观点：与政府工作相关的个人记录一旦外泄，很少能保持私密，而后续诈骗往往比泄露本身更重要。
泄露发生后《数据隐私法》的要求
在菲律宾，个人数据处理受《数据隐私法》管辖，由全国隐私委员会（NPC）监督。来源文章未描述本案中已采取的任何通知步骤，因此我们无法说明已提交或未提交什么。一般而言，法律对政府机构和其他个人信息控制者施加保护其所持数据的义务，并且针对涉及可能使人们面临风险的个人数据的事件制定了泄露通知规则。
读者可以合理做的是留意官方通信。如果BIR或NPC发布通知或公告，应通过其经过验证的渠道发布。这也是一个有用的筛选方法：声称与泄露有关但来自未知号码或相似电子邮件地址的消息值得怀疑，而不是点击。
类似问题在其他地方也出现过。在我们对海得拉巴立案的Star Hospitals数据泄露案的报道中，事件从发现发展到正式警方立案，提醒人们官方程序往往在首批报道之后跟进。
纳税人如何检查网络钓鱼和身份滥用
你无需等待确认即可采取合理预防措施。无论调查如何结束，这些步骤成本低且有用。
- 谨慎对待税务主题的消息。 对关于退款、罚款、审计或“账户验证”的电子邮件、短信或电话保持怀疑，尤其是当它们制造紧迫感时。
- 自己前往来源。 不要点击链接，而是在浏览器中输入该机构的官方网址，或使用官方来源的联系电话。
- 绝不要在未经请求的请求中分享一次性密码或完整身份证号。
- 加强你的账户。 在电子邮件、银行及任何政府门户账户上使用唯一密码、密码管理器和双重身份验证。
- 检查你的记录。 查看你的银行和电子钱包对账单以及任何政府账户活动，寻找任何你不认识的内容。
- 保护你的电子邮件安全。 你的电子邮件往往是重置其他账户的关键，因此应首先保护它。
这对你意味着什么
在现阶段，没有已确认的公开调查结果表明白你的个人数据已被曝光。负责任的立场是保持知情并做好准备，而不是恐慌。如果调查确实确认涉及纳税人记录，那些已经加强账户安全并学会识别税务主题诈骗的人将处于更有利的位置。
VPN不能修复政府机构的泄露，因为相关数据由该机构持有，而不是在你的设备上。它可以在公共Wi-Fi上增加一层保护，但在此处上述步骤重要得多。
关键要点
- 留意BIR和全国隐私委员会的官方通知，并且只依赖经过验证的渠道。
- 警惕任何税务主题的消息、电话或短信，尤其是要求紧急行动或个人信息的。
- 为电子邮件、银行和政府账户开启双重身份验证并使用唯一密码。
- 监控你的金融账户是否有不熟悉的活动。
- 如需政府数据曝光后的更多实用步骤，请阅读我们的DHS泄露防护指南。
随着BIR、DICT和反网络犯罪单位分享更多关于涉嫌泄露的信息，我们将更新报道。在此之前，谨慎的习惯仍然是你可获得的、最强的BIR数据泄露纳税人保护形式。
