Eine überzeugend gefälschte Steuerbenachrichtigung könnte mit echten Daten von Steuerpflichtigen beginnen.
Das philippinische Bureau of Internal Revenue (BIR) untersucht nach Angaben der Cybersicherheits-Monitoringgruppe Deep Web Konek ein mutmaßliches Datenleck mit etwa 10 Millionen Datensätzen einzelner Steuerpflichtiger. Das BIR hat nicht bestätigt, dass Steuerdaten kompromittiert wurden.
Falls die Informationen echt sind, könnten Kriminelle sie nutzen, um sich bei Angriffen auf Privatpersonen und Unternehmen als die Steuerbehörde auszugeben.
Mutmaßliches Datenleck umfasst Daten von Steuerpflichtigen und Unternehmen
Die Cybersicherheits-Monitoringgruppe Deep Web Konek führte den gemeldeten Diebstahl auf einen Angreifer zurück, der sich Happy Go Lucky PH nennt. In ihrem Bericht war neben den Dateien einzelner Steuerpflichtiger außerdem von etwa 500.000 Unternehmensdatensätzen die Rede.
Die mutmaßlich entwendeten Daten sollen Informationen zur Registrierung von Steuerpflichtigen sowie Unternehmens- und Geschäftsdaten umfassen. Das BIR hat weder den Inhalt noch den Umfang des mutmaßlichen Lecks bestätigt.
Ein separater Beitrag der Gruppe verwies im Zusammenhang mit dem Vorfall auf das Verifizierungsportal des BIR und andere Online-Steuerdienste. In der öffentlichen Stellungnahme des BIR wurde weder ein Eintrittspunkt genannt noch erklärt, ob Zugangsdaten von Konten kompromittiert wurden.
Philippinische Behörden ermitteln, während Datenschutzpflichten überprüft werden
In einer Stellungnahme die die Philippine News Agency am 9. November veröffentlichte, erklärte das BIR, es koordiniere sich mit dem Cybercrime Investigation and Coordinating Center (CICC) und dem National Computer Emergency Response Team (DICT-NCERT) des Department of Information and Communications Technology. Die Behörden berichteten, Maßnahmen zur Reaktion auf den Vorfall zum Schutz der Systeme der Behörde umgesetzt zu haben, und rieten Steuerpflichtigen, Transaktionen ausschließlich über offizielle Kanäle abzuwickeln.
In einer Stellungnahme vom 6. November erklärte die National Privacy Commission , sie werde sich mit Regierungsbehörden abstimmen, um gemeldete Datenlecks zu überprüfen, ohne das BIR ausdrücklich zu nennen. Nach den philippinischen Datenschutzvorschriften müssen Organisationen die Aufsichtsbehörden und betroffene Personen innerhalb von 72 Stunden benachrichtigen, wenn sie wissen oder begründet annehmen, dass ein Vorfall die Kriterien für eine verpflichtende Meldung eines Datenschutzverstoßes erfüllt.
Steuerdaten könnten Unternehmen gezielten Identitätsbetrug aussetzen
Falls echte Registrierungsdaten von Steuerpflichtigen und Unternehmen offengelegt wurden, könnten Kriminelle damit überzeugende steuerbezogene Nachrichten erstellen. Eine gefälschte Benachrichtigung mit einer legitimen Unternehmenskennung könnte einen Buchhalter auf eine gefälschte Anmeldeseite leiten oder vertrauliche Finanzunterlagen anfordern. Spear-Phishing-Versuche wie diese wären nicht darauf angewiesen, dass die Angreifer bereits über Kontokennwörter verfügen.
Finanzabteilungen und externe Buchhalter, die mit sensiblen Steuerunterlagen arbeiten, sollten über ein klares Verfahren verfügen, um verdächtige Anfragen an die Sicherheitsteams weiterzuleiten. Eine gefälschte E-Mail könnte Mitarbeiter erreichen, die befugt sind, Unternehmensunterlagen einzureichen oder Zahlungen zu genehmigen, und so betrügerische Anweisungen in etablierte Finanzabläufe einschleusen.
Das BIR hatte Steuerpflichtige zuvor vor Identitätsbetrug per E-Mail gewarnt , bei dem die Empfänger auf betrügerische Websites geleitet werden, die Benutzernamen und Passwörter anfordern. Organisationen mit philippinischen Steuerpflichten sollten ihre Sicherheits- und Finanzprozesse in drei Bereichen aufeinander abstimmen.
- Unerwartete Steueranfragen überprüfen. Ungewöhnliche Benachrichtigungen über offizielle Kanäle der Behörde oder etablierte Ansprechpartner unabhängig von den in einer Nachricht enthaltenen Informationen bestätigen. E-Mail-Sicherheitskontrollen aufrechterhalten, um Identitätsbetrugsversuche zu erkennen.
- Zugriffe auf Steuersysteme überprüfen. Einreichungskonten und die Befugnis zur Weitergabe von Unternehmensdokumenten auf genehmigte Personen beschränken, einschließlich externer Steuerdienstleister.
- Unabhängige Genehmigung durchsetzen. Eine zweite autorisierte Prüfung verlangen, bevor als Reaktion auf steuerbezogene Anfragen Zahlungsänderungen verarbeitet oder vertrauliche Unterlagen herausgegeben werden.
Genaue Steuerdaten sollten niemals als ausreichender Beleg dafür gelten, dass eine Anfrage legitim ist – insbesondere dann nicht, wenn es um Unternehmensfinanzen oder vertrauliche Unterlagen geht.
Weitere Nachrichten zur Cybersicherheit: Hacker nutzten eine Schwachstelle nur 35 Minuten nachdem öffentlich verfügbarer Exploit-Code bereitgestellt worden war, laut neuen Forschungsergebnissen von CrowdStrike.