本物の納税者情報から、説得力のある偽の税務通知が作られる可能性がある。
フィリピン内国歳入局（BIR）は、サイバーセキュリティ監視グループの報告に基づき、個人の納税者記録約1000万件に関わるデータ流出疑惑を調査していると、Deep Web Konekが伝えている。BIRは、納税者情報が侵害されたことを確認していない。
情報が本物であれば、犯罪者は個人や企業を狙う際に税務当局になりすますことができる。
納税者および企業の記録に関わる流出疑惑
サイバーセキュリティ監視グループDeep Web Konekは、報じられた窃取の実行者として、Happy Go Lucky PHを名乗る脅威アクターを挙げた。同グループの報告では、個人の納税者ファイルに加え、企業記録約50万件にも言及している。
流出したとされるデータには、納税者登録情報や企業・事業者の記録が含まれているという。BIRは、疑われる流出の内容や規模を確認していない。
同グループによる別の 投稿は、このインシデントに関連して、BIRの確認ポータルやその他のオンライン税務サービスに言及した。BIRの公表声明は、侵入経路を特定しておらず、アカウント認証情報が侵害されたかどうかも明らかにしていない。
プライバシー上の義務が見直されるなか、フィリピン当局が調査
フィリピン通信社が 11月9日に報じた声明で、BIRはサイバー犯罪捜査・調整センター（CICC）および情報通信技術省の国家コンピューター緊急対応チーム（DICT-NCERT）と連携していると述べた。また、当局のシステムを保護するためインシデント対応策を実施したとし、納税者には取引を公式な窓口だけで行うよう助言した。
11月6日の声明で、 国家プライバシー委員会は、BIRを名指しすることなく、報告されたデータ流出を確認するため政府機関と連携すると述べた。フィリピンのプライバシー規則では、組織は、インシデントが報告義務のある侵害の基準を満たすと認識した、または合理的に判断した場合、72時間以内に規制当局と影響を受けた個人へ通知しなければならない。
納税者情報により、企業は標的型のなりすまし被害を受ける可能性がある
本物の納税者情報や企業登録情報が流出していた場合、犯罪者はそれらを使って説得力のある税務関連の連絡を作成できる。正規の企業識別情報を記載した不正な通知によって、会計担当者が偽のログインページへ誘導されたり、機密性の高い財務書類の提出を求められたりする可能性がある。スピアフィッシングのような攻撃は、攻撃者がすでにアカウントのパスワードを入手していることを前提としない。
機密性の高い税務書類を扱う財務部門や外部会計担当者は、不審な依頼をセキュリティチームにエスカレーションする明確な手順を整備しておくべきだ。 なりすましメールが、企業記録の提出や支払いの承認を許可された従業員に届けば、不正な指示が既存の財務ワークフローに入り込む可能性がある。
BIRは以前、 納税者に警告したことがある。受信者を誘導してユーザー名やパスワードを要求する不正なウェブサイトを開かせる、なりすましメールについてだ。フィリピンで納税義務を負う組織は、セキュリティと財務の手順を3つの領域で連携させるべきである。
- 予期しない税務関連の依頼を確認する。メッセージに記載された情報とは別に、公式機関の窓口や既存の連絡先を通じて通常と異なる通知を確認する。さらに メールセキュリティ対策を維持し、なりすましの試みを特定できるようにする。
- 税務システムへのアクセスを見直す。申告用アカウントや企業文書を共有する権限は、外部の税務サービス提供者を含む承認済みの担当者に限定する。
- 独立した承認を徹底する。税務関連の依頼を受けて支払い情報を変更したり機密記録を公開したりする前に、権限を持つ別の担当者による二次承認を必須とする。
正確な納税者情報が記載されていても、依頼が正当であることの十分な証拠とは決してみなしてはならない。特に企業の財務や機密書類が関わる場合はなおさらだ。
サイバーセキュリティのニュース：公開エクスプロイトコードが利用可能になってからわずか35分後にハッカーが脆弱性を悪用したことを示すCrowdStrikeの新たな調査によると。