Protege a tus clientes, protégete a ti mismo!

El IRS y los socios de la Cumbre de Seguridad – que representan a las agencias tributarias estatales y a la industria tributaria del país – continúan viendo un flujo constante de correos electrónicos y ataques relacionados dirigidos a la comunidad de Tax Professionals del país. Estos ataques están diseñados para robar información fiscal y financiera confidencial de los clientes. Por eso Tax Pro Tech Services trae este artículo para explicarle mejor en qué consisten esas amenazas y cómo prevenirlas.

«Seguimos viendo un aluvión de correos electrónicos y ataques relacionados diseñados para engañar a los profesionales de los impuestos y obtener acceso a su información sensible»
Danny Werfel, Comisionado del IRS

Las variantes de estos ataques por correo electrónico se cuentan por centenares y pueden dirigirse a los profesionales de la industria de taxes, sea o no temporada de impuestos.

Los profesionales fiscales y los contribuyentes deben ser conscientes de los diferentes términos de phishing y de cómo pueden ser las estafas por correo electrónico:

Phishing/Smishing

Los correos electrónicos o SMS/textos de phishing (conocidos como «smishing») intentan engañar al destinatario para que haga clic en un enlace sospechoso, rellene información o descargue un archivo de malware. A menudo, los intentos de phishing se envían a varias direcciones de correo electrónico de una empresa o agencia, lo que aumenta las posibilidades de que alguien caiga en la trampa.

Spear phishing

Un tipo específico de estafa de phishing que evita enviar correos electrónicos a grandes grupos de una organización, sino que identifica a las víctimas potenciales y les envía un correo electrónico más realista conocido como «señuelo».

Estos tipos de estafa pueden ser más difíciles de identificar, ya que no se producen en grandes cantidades. Se centran en individuos, pueden ser especializados y hacen que el correo electrónico parezca más legítimo. Los estafadores pueden hacerse pasar por un cliente potencial de un profesional fiscal y engañarle para que comparta información confidencial.

Clone phishing

Un nuevo tipo de estafa de phishing que clona un mensaje de correo electrónico real y lo reenvía al destinatario original haciéndose pasar por el remitente original. El nuevo mensaje contendrá un archivo adjunto con malware o un enlace que intentará robar información del profesional fiscal o del destinatario.

Whaling

Los ataques Whaling son muy similares al spear phishing, excepto que estos ataques se dirigen generalmente a líderes u otros ejecutivos con acceso a grandes cantidades de información segura en una organización o empresa. Los ataques Whaling también pueden dirigirse a personas en oficinas de nóminas, personal de recursos humanos y oficinas financieras.

Los socios de Security Summit siguen viendo casos en los que los profesionales de la industria de taxes han sido especialmente vulnerables a los correos electrónicos que se hacen pasar por clientes potenciales. En la estafa del «nuevo cliente», los delincuentes utilizan esta técnica para engañar a los profesionales para que abran enlaces de correo electrónico o archivos adjuntos que infectan los sistemas informáticos con el potencial de robar información de los clientes.
Esquemas similares se observan en las situaciones de «caza de ballenas», en las que los estafadores intentan obtener una gran cantidad de información con solicitudes por correo electrónico que parecen legítimas.

Señales de advertencia de una estafa

Independientemente del tipo de intento de phishing, los profesionales fiscales pueden protegerse a sí mismos y a su organización siendo conscientes de estas estafas y buscando señales de advertencia como estas:

Un correo electrónico o texto inesperado que afirma provenir de una fuente conocida o de confianza, como un colega, banco, compañía de tarjetas de crédito, proveedor de almacenamiento en la nube, proveedor de software de impuestos o incluso el IRS y otras agencias gubernamentales.
Recibir un correo electrónico duplicado de lo que parece ser una fuente de confianza conocida que contiene un nuevo archivo adjunto o hipervínculo.
Un mensaje, a menudo con tono urgente, instando al receptor a abrir un enlace o archivo adjunto. Estos mensajes tienen una narrativa falsa, como que la contraseña de alguien ha caducado o que se necesita alguna otra acción urgente.
Una dirección de correo electrónico, número o enlace que está ligeramente mal escrito o tiene un nombre de dominio o URL diferente (irs.com frente a IRS.gov). Una mirada más atenta a estas direcciones de correo electrónico -como pasar el cursor por encima de la dirección de correo electrónico- puede mostrar ligeras variaciones con respecto a las direcciones legítimas.

«Hay importantes señales de alarma que pueden pasarse por alto fácilmente, por lo que los profesionales de los impuestos y los contribuyentes deben tener mucho cuidado y mirar de cerca cuando reciben un correo electrónico de una fuente de aspecto oficial»
Werfel.

Los sistemas basados en la nube siguen siendo una amenaza

Los profesionales del sector fiscal que utilicen sistemas basados en la nube para almacenar información o ejecutar software de preparación de impuestos deben utilizar la autenticación multifactor para ayudar a salvaguardar esos datos. La Comisión Federal de Comercio exige ahora a todos los profesionales que protejan la información sensible de identificación personal (IIP) de los clientes mediante autenticación multifactor.

En concreto, la Cumbre de Seguridad sigue viendo ataques que aprovechan los sistemas basados en la nube y ponen en peligro la información personal. Las opciones de autenticación multifactor proporcionan una capa adicional de seguridad para acceder a un sistema mediante el uso de un teléfono, mensajes de texto o tokens. Dado que el correo electrónico es más fácil de acceder para los ladrones de identidad, contar con estas capas de seguridad ayuda a protegerse de posibles vulnerabilidades. En negozee le recomendamos consultar con TaxProTech para implementar medidas que le permitan mantenerse seguro y proteger a sus clientes.

Recursos adicionales

Para los profesionales de impuestos que son víctimas de cualquiera de estos esquemas o robo de identidad, el IRS les insta a ponerse en contacto rápidamente con su enlace con las partes interesadas del IRS para proporcionar detalles de la situación. Los profesionales de los impuestos también pueden compartir información con la agencia tributaria estatal apropiada visitando una página especial de Report Data Breach con la Federación de Administradores de Impuestos.

Informar rápidamente de estos incidentes no sólo puede proteger a los clientes del profesional fiscal, sino que también puede ayudar a proporcionar información crítica rápidamente para ayudar a prevenir que estos ataques afecten a otros Tax Professionals.

«Estos intentos de hackeo pueden ser elaborados, esfuerzos de múltiples capas que parecen convincentes y pueden engañar fácilmente a la gente. Los profesionales de los impuestos deben ser cautelosos y educar a sus empleados para que usen precaución extra para proteger a sus clientes y sus negocios.»
Danny Werfel, Comisionado del IRS