フィリピン国税庁、1,000万件規模のデータ漏えい疑惑を調査

実在する納税者情報があれば、本物と見分けがつかない偽の税務通知を作れてしまいます。

フィリピン内国歳入庁（BIR）が、約1,000万件の個人納税者記録に関わるデータ漏えいの疑いについて調査を進めています。サイバーセキュリティ監視グループのDeep Web Konekが報告した情報によるものです。BIRは、納税者情報が侵害されたことをまだ確認していません。

この情報が本物であれば、犯罪者がBIRになりすまして個人や企業を狙う際に悪用される恐れがあります。

納税者記録と法人記録が漏えいした疑い

サイバーセキュリティ監視グループのDeep Web Konekは、今回の窃取について、Happy Go Lucky PHを名乗る攻撃者の犯行だとしています。同グループの報告によると、個人納税者のファイルに加えて、約50万件の法人記録も含まれていたといいます。

流出したとされるデータには、納税者登録情報のほか、法人や事業者の記録が含まれているとされています。BIRは、漏えいの疑いがあるデータの内容や規模を確認していません。

同グループは 別の投稿で、BIRの検証ポータルなどのオンライン税務サービスが今回の件に関係していると指摘しました。一方、BIRの公式声明は、侵入経路を特定しておらず、アカウントの認証情報が侵害されたかどうかにも触れていません。

フィリピン当局が調査を開始、プライバシー関連の義務も検証へ

BIRは、 フィリピン通信社（PNA）が11月9日に報じた声明で、サイバー犯罪捜査調整センター（CICC）、および情報通信技術省の国家コンピュータ緊急対応チーム（DICT-NCERT）と連携していると明らかにしました。当局者は庁内システムを守るためインシデント対応措置を講じたとしています。また、納税者に対しては、取引を公式チャネルのみで行うよう呼びかけました。

国家プライバシー委員会は11月6日の声明で、報告されたデータ漏えいを確認するため、政府機関と連携する方針を示しました。ただし、BIRの名前は挙げていません。フィリピンのプライバシー規則では、インシデントが義務的な侵害通知の基準を満たすと把握した場合、またはそう信じる合理的な理由がある場合、組織は72時間以内に規制当局と影響を受ける個人へ通知する必要があります。

納税者情報の悪用で、企業がなりすまし攻撃の標的に

納税者情報や企業の登録情報が実際に流出していた場合、犯罪者はそれを使って、税務に関する説得力のある連絡文を作成できます。たとえば、正規の事業者識別番号を記載した偽の通知を使い、経理担当者を偽のログインページに誘導したり、機密性の高い財務書類を要求したりする可能性があります。このようなスピアフィッシングは、攻撃者がアカウントのパスワードをすでに入手していなくても成立します。

機密性の高い税務書類を扱う経理部門や外部の会計士は、不審な依頼をセキュリティチームにエスカレーションする明確な手順を整えておくべきです。 なりすましメールが、企業記録の提出や支払いの承認権限を持つ従業員に届くと、不正な指示が既存の財務ワークフローに紛れ込むおそれがあります。

BIRは以前にも、 納税者に注意を呼びかけており、ユーザー名とパスワードの入力を求める不正なウェブサイトへ誘導するなりすましメールが確認されていました。フィリピンで納税義務を負う組織は、次の3点を軸に、セキュリティ部門と財務部門の手順を連携させる必要があります。

• 想定外の税務関連の依頼を確認する。普段と異なる通知は、メッセージに記載された情報に頼らず、公式のチャネルや既知の連絡先を通じて確認します。なりすましの検知に役立つ メールセキュリティ対策も維持してください。
• 税務システムへのアクセスを見直す。申告用アカウントや企業の書類を共有する権限は、外部の税務サービス事業者を含め、承認済みの担当者に限定します。
• 独立した承認を徹底する。税務関連の依頼を受けて支払い先を変更したり、機密記録を開示したりする前に、権限を持つ第二の確認者による承認を必須とします。

納税者情報が正確だからといって、その依頼が正当であると判断してはいけません。特に、企業の財務や機密文書が絡む場合は注意が必要です。

サイバーセキュリティのその他のニュース：CrowdStrikeの最新の調査によると、攻撃者は脆弱性の実証コード（PoC）が公開されてからわずか35分で、その脆弱性を悪用しました。