Un faux avis d’imposition convaincant pourrait commencer par de vraies informations sur un contribuable.
Le Bureau of Internal Revenue (BIR) des Philippines enquête sur une fuite présumée de données concernant environ 10 millions de dossiers de contribuables individuels, selon des affirmations rapportées par le groupe de veille de la cybersécurité Deep Web Konek. Le BIR n’a pas confirmé que des informations sur les contribuables avaient été compromises.
Si elles sont authentiques, ces informations pourraient aider des criminels à usurper l’identité de l’administration fiscale pour cibler des particuliers et des entreprises.
La fuite présumée concerne des dossiers de contribuables et d’entreprises
Le groupe de veille de la cybersécurité Deep Web Konek a attribué le vol signalé à un acteur malveillant se faisant appeler Happy Go Lucky PH. Son rapport mentionne également environ 500 000 dossiers d’entreprises, en plus des fichiers de contribuables individuels.
Les données supposément dérobées comprendraient des informations d’enregistrement des contribuables ainsi que des dossiers d’entreprises et de sociétés. Le BIR n’a pas confirmé le contenu ni l’ampleur de la fuite présumée.
Une publication du groupe faisait référence au portail de vérification du BIR et à d’autres services fiscaux en ligne dans le cadre de l’incident. La déclaration publique du BIR n’a pas identifié de point d’entrée ni précisé si des identifiants de compte avaient été compromis.
Les autorités philippines enquêtent tandis que les obligations en matière de protection de la vie privée sont réévaluées
Dans une déclaration rapportée par la Philippine News Agency le 9 novembre, le BIR a indiqué qu’il se coordonnait avec le Cybercrime Investigation and Coordinating Center (CICC) et la National Computer Emergency Response Team (DICT-NCERT) du Department of Information and Communications Technology. Les autorités ont déclaré avoir mis en œuvre des mesures de réponse à l’incident pour protéger les systèmes de l’administration et ont conseillé aux contribuables d’effectuer leurs démarches exclusivement par les canaux officiels.
Dans une déclaration du 6 novembre, la National Privacy Commission a indiqué qu’elle se coordonnerait avec les organismes publics afin de vérifier les fuites de données signalées, sans citer précisément le BIR. En vertu des règles philippines relatives à la protection de la vie privée, les organisations doivent informer les autorités de régulation et les personnes concernées dans les 72 heures lorsqu’elles savent ou estiment raisonnablement qu’un incident répond aux critères imposant une notification de fuite.
Des informations fiscales pourraient exposer les entreprises à des usurpations d’identité ciblées
Si des informations authentiques sur l’enregistrement de contribuables et d’entreprises étaient exposées, des criminels pourraient les utiliser pour créer des communications fiscales convaincantes. Un faux avis citant un identifiant d’entreprise valide pourrait orienter un comptable vers une fausse page de connexion ou lui demander des documents financiers confidentiels. hameçonnage ciblé de ce type ne dépendrait pas du fait que les attaquants détiennent déjà les mots de passe des comptes.
Les services financiers et les comptables externes qui traitent des documents fiscaux sensibles devraient disposer d’une procédure claire pour transmettre les demandes suspectes aux équipes de sécurité. Un e-mail usurpé pourrait parvenir à des employés autorisés à transmettre des dossiers d’entreprise ou à approuver des paiements, permettant ainsi à des instructions frauduleuses d’intégrer des processus financiers établis.
Le BIR avait déjà mis en garde les contribuables contre des e-mails usurpant une identité et dirigeant leurs destinataires vers des sites frauduleux qui demandent des noms d’utilisateur et des mots de passe. Les organisations soumises à des obligations fiscales aux Philippines devraient coordonner leurs procédures de sécurité et leurs procédures financières autour de trois axes.
- Vérifiez les demandes fiscales inattendues. Confirmez les avis inhabituels par les canaux officiels de l’administration ou auprès de contacts établis, indépendamment des informations fournies dans un message. Maintenez des contrôles de sécurité des e-mails afin de contribuer à identifier les tentatives d’usurpation.
- Examinez les accès aux systèmes fiscaux. Limitez l’accès aux comptes de déclaration et l’autorisation de transmettre des documents de l’entreprise au personnel agréé, y compris aux prestataires externes de services fiscaux.
- Imposez une validation indépendante. Exigez l’intervention d’un second responsable habilité avant de traiter des modifications de paiement ou de transmettre des dossiers sensibles en réponse à des demandes liées aux impôts.
L’exactitude des informations sur un contribuable ne doit jamais être considérée comme une preuve suffisante de la légitimité d’une demande, en particulier lorsqu’elle concerne les finances d’une entreprise ou des documents confidentiels.
Autres actualités de cybersécurité : des pirates ont exploité une vulnérabilité seulement 35 minutes après la publication du code d’exploitation, selon de nouvelles recherches de CrowdStrike.