加拿大数万名纳税人账户遭黑客入侵！CRA错发600万退税支票

根据CBC周一（10月28日）报道，加拿大有数万名纳税人账户遭黑客入侵，CRA错发600万退税支票。在今年的纳税季高峰期，加拿大税务局CRA发现黑客已经获取了加拿大最大的税务筹划公司之一 H&R Block Canada 使用的机密数据。

据CBC的调查发现，冒名顶替者利用该公司的机密凭证未经授权访问数百名加拿大人的个人 CRA 账户，更改直接存款信息，提交虚假退税，并从公共财政中骗取超过 600 万元的虚假退税。

在其中一个案例中，黑客提交的退税使用了合法的邮政编码，但却使用了位于不存在的虚假地址。

拉瓦尔大学 (Laval University) 税务副教授安德烈·拉罗（ André Lareau ）在接受采访时表示：“显然大门是敞开的，CRA似乎还没有找到锁门的钥匙，有些人正在入侵系统。”

据消息人士称，这场危机促使CRA联系了加拿大联邦政府税务部长 Marie-Claude Bibeau 的办公室。

该机构已准备好媒体渠道来回答有关 H&R Block 数据泄露以及该机构为何向诈骗者支付数百万元的问题。

最终，公众从未被告知该计划。税务部长拒绝了CBC的采访请求。

与此同时，H&R Block 在一份声明中表示，没有证据表明此次入侵来自该公司。

H&R Block税务公司表示，“全面的内部调查”得出结论，其“数据、系统、软件和安全”均未受到损害，它不知道受此次入侵影响的加拿大纳税人是否是其客户。

据消息人士透露，加拿大税务局未能确定黑客的身份，但排除了黑客入侵自身系统或内部人员参与的可能性。最终，谁从何处窃取了这些数据仍然不清楚。

而根据CBC的调查发现，H&R Block 数据泄露事件只是加拿大税务局面临的众多问题之一，审计人员和调查人员担心公众可能会失去对负责保护纳税人资金和个人信息的机构的信任。

调查发现，在该机构内部忙于处理所谓的威胁行为者的同时，公众对被盗金额之巨以及该机构检测欺诈行为的能力存在巨大缺陷大多一无所知。

拉罗教授表示，应该进行议会调查，以确定问题的“严重程度”，并迫使加拿大税务局和税务部长作出答复。

“他们都应该确切地说明发生了什么[以及]涉及多少钱，”他说。

加拿大税务局还有义务向直接向议会报告的隐私专员报告纳税人账户的“重大”违规行为。

在 6 月份提交给议会的一份报告中，隐私专员报告称，在截至 2024 年 3 月 31 日的财政年度中，加拿大税务局发生了 71 起隐私泄露事件。此前三年，加拿大税务局共报告了 42 起隐私泄露事件。

这些数字此后呈爆炸式增长。

加拿大税务局承认，从 2020 年 3 月到 2023 年 12 月，加拿大税务局发生了超过 31,468 起“重大”隐私泄露事件，影响了 62,000 名加拿大纳税人。

CRA表示，它注意到“外部数据泄露和网络威胁明显增加”，其中“未经授权的第三方”访问了加拿大人的税务账户，更改了直接存款信息，制作了“欺诈性税务信息单”并提交了欺诈性申报表。

CRA称，当发生违规行为时，会通知纳税人，并向他们提供“必要的信用保护”，CRA称“非常重视”保护加拿大人的税务信息。

加拿大税务局没有回答它是如何以及何时第一次得知隐私泄露的数量被少报给议会的，也没有按年份细分报告的总数。

2020 年，财政委员会报告称，当年的加拿大税务局网络攻击已得到控制。2022 年，一名法官在针对联邦政府隐私泄露的集体诉讼中得出结论，12,700 个加拿大税务局账户中的直接存款信息已被诈骗者更改。

CRA在10月25日周五晚上发布的第二份声明中表示，它错误地批准了 2020 年至 2024 年 10 月初期间与“已确认”的隐私泄露案件有关的超过 1.9 亿元的虚假付款。

CRA表示，其中大部分发生在 2020 年新冠疫情期间，近年来“大幅减少”。

据消息人士称，CRA在声明中表示，它在 2024 年向冒名顶替者支付了总计 300 万元的款项，这一数字似乎与今年仅 H&R Block 数据泄露事件中损失 600 万元不符。

据消息人士称，CRA积压了大量可疑案件，大量“已确认”案件尚未报告。

图：诈骗者获得第三方报税凭证，代表纳税人报税，然后伪造报税单并更改直接存款账户，在CRA发现前，支票已经支付出去了。

据消息人士称，涉及 H&R Block 的案件是一个不堪重负、资源不足和智取不足的机构的缩影，黑客和诈骗者利用加拿大税务局无法发现大量纳税申报欺诈行为的机会大行其道。

消息人士称，使打击欺诈性申报的努力变得复杂的是CRA内部所谓的“先付钱后追讨”文化，这是一种刻意的政策，即尽快向公众退税，然后再审计差异。

拉罗教授表示，加拿大税务局喜欢宣传一个“高效”机构的“形象”，即“尽快”退税。

消息人士告诉CBC，这种方法为欺诈者留下了巨大的漏洞。

该机构官员最初是在 4 月份注意到暗网上有人发布出售非法获取的 H&R Block 数据的帖子后才发现有些不对劲。

图：CBC

调查发现，一名骗子在暗网上寻找 H&R Block 的机密信息。窃取该数据的人的身份以及黑客来自何处不清楚。

黑客获得了加拿大税务局提供的 H&R Block 电子报税凭证，本质上是该公司会计师代表纳税人报税时使用的机密电子密钥。

最终清楚的是，被盗的 H&R Block 信息帮助冒名顶替者获取加拿大人的纳税申报表、更改银行信息甚至地址，以索取虚假的退税和税收抵免。

据消息人士透露，最后CRA意识到，它向同一个银行账户发放了多笔不相关的虚假退款。

加拿大税务局审计人员得出结论，CRA在 2024 年支付了超过 600 万元支付给冒名顶替者，不过，成功阻止了另外 1400 万元。

据消息人士透露，加拿大税务局并不总是与金融机构共享关键信息，即使它怀疑欺诈者正在使用他们的一个银行账户。

消息人士补充说，该机构还担心缺乏内部沟通会减慢对黑客的追捕速度。

加拿大税务局发言人表示，“一旦发生违规行为，就会制定流程和程序，以快速响应并减轻对纳税人信息和纳税人账户的威胁”。

该机构发言人 Kim Thiffault 说：“随着诈骗者调整其做法，加拿大税务局也会随之调整。”

来源：超级生活综合