Unternehmen W-2 Payroll Phishing Leak oder CPA Tax-Preparer-Verstoß: Schutz der SSN und Steuererklärung jedes Mitarbeiters¶

Ich habe herausgefunden, dass ein Personal- oder Gehaltsabrechnungsspezialist gerade eine E-Mail an a gesendet hat .pdf, .csv, oder .zip Archiv aller aktuellen und ehemaligen Mitarbeiter IRS-Formular W-2 (Wage and Tax Statement) oder Formular 1099 (oder kanadisch T4, Großbritannien P60, oder Australier PAYG Zusammenfassung) an einen Cyberkriminellen, der die E-Mail-Adresse des CEO oder einer externen CPA gefälscht hat - oder erfahren, dass der Steuervorbereitungsserver Ihrer Wirtschaftsprüfungsgesellschaft (Intuit ProSeries, Lacerte, Drake Tax, CCH Axcess, oder UltraTax CS) über einen Remote-Desktop oder einen Infostealer-Angriff verletzt wurde - ist ein Fünf-Alarm-Identitätsnotfall für jede Person in diesem Dienstplan. Im Gegensatz zu einem Kreditkartenverstoß im Einzelhandel (der in 3 Minuten durch Sperrung einer 16-stelligen Plastikkarte gelöst werden kann) gibt ein durchgesickertes Formular W-2 oder Formular 1040 Kriminellen den permanenten Hauptschlüssel zum Finanzleben einer Person an die Hand: Vollständiger offizieller Name, unmaskierte 9-stellige Sozialversicherungsnummer (SSN), Wohnadresse, genauer Jahresbruttolohn (Box 1), Genaue einbehaltene Bundes- und Landeseinkommensteuer (Boxes 2 & 17) und die 9-stellige Bundesidentifikationsnummer des Arbeitgebers (EIN). Kriminelle Syndikate monetarisieren gestohlene W-2-Chargen innerhalb von Stunden nach Erhalt: Sie geben genau das EIN, Box 1 Löhne und Box 2 Einbehaltungen werden direkt in automatisierte E-File-Bots einbehalten, um die IRS-Return-Matching-Filter zu passieren und massive betrügerische Steuerrückerstattungen zu stehlen, bevor die echten Mitarbeiter überhaupt ihre Steuern eingereicht haben. Für eine umfassendere Wiederherstellung von E-Mail-Kompromissen im Unternehmen wenden Sie sich bitte ebenfalls an Corporate Business Email Compromise (BEC) und Rückruf bei Überweisungsbetrug; Wenn die individuelle Identität eines Mitarbeiters oder die SSN eines Kindes bereits für Kredite verwendet wird, siehe Reaktion auf Identitätsdiebstahl und synthetischer Identitätsdiebstahl und Einfrieren des SSN-Guthabens für Kinder. Wenn es sich bei diesem Verstoß um körperliche Erpressung oder einen unmittelbaren Notfall für die Lebenssicherheit handelt, rufen Sie Ihre örtliche Notrufnummer an (911 in den Vereinigten Staaten und Kanada, 112 in der gesamten Europäischen Union, 999 im Vereinigten Königreich) oder konsultieren Sie unser Verzeichnis von Notrufnummern.

Tun Sie dies jetzt¶

1. WENN SIE ARBEITGEBER, HR-DIREKTOR ODER GEHALTSABRECHNUNGSVERWALTER SIND (Stunde 1): Melden Sie den W-2-/SSN-Verlust direkt der W-2-Datenverlusteinheit des IRS unter dataloss@irs.gov SOFORT:
2. Warten Sie nicht tagelang, bis ein externer Rechtsberater Mitarbeiterbenachrichtigungsschreiben verfasst hat, bevor Sie das IRS benachrichtigen. Jede Stunde, die Sie warten, ermöglicht es Kriminellen, Hunderte betrügerischer Formular-1040-Steuererklärungen über die Ihres Unternehmens per E-Mail einzureichen EIN und Ihre Mitarbeiter sind durchgesickert W-2 Boxen.
3. Senden Sie gleich eine E-Mail an dataloss@irs.gov mit der genauen Betreffzeile "W2 Data Loss" enthält Ihren Firmennamen und Ihre Arbeitgeber-Identifikationsnummer (EIN), Kontaktname/Telefonnummer, eine kurze Zusammenfassung, wie das Leck aufgetreten ist, und die ungefähre Anzahl der betroffenen Mitarbeiter (Fügen Sie NIEMALS die Mitarbeiter-SSN-Liste an diese erste E-Mail an - ein IRS-Stakeholder-Verbindungsmann wird Sie über einen verschlüsselten Übertragungskanal kontaktieren, damit der IRS die SSN jedes betroffenen Mitarbeiters gegen betrügerische elektronische Einreichung kennzeichnen kann).
4. WENN SIE EIN CPA, EINGESCHRIEBENER VERTRETER ODER STEUERBERATER SIND (Stunde 1): Wenden Sie sich an Ihren örtlichen IRS-Stakeholder-Verbindungsmann UND sperren Sie Ihr Konto EFIN / PTIN sofort in Ihrem IRS e-Services-Konto:
5. Unter IRS-Veröffentlichung 4557 (Safeguarding Taxpayer Data) und die FTC Safeguards Rule (16 CFR Part 314) müssen Steuerfachleute jeden Verdacht auf Datendiebstahl oder unbefugte elektronische Einreichung von Kundendaten unter ihrer Identifikationsnummer für die elektronische Einreichung melden (EFIN) innerhalb weniger Stunden an ihre IRS-Stakeholder-Verbindung, damit die IRS betrügerische Rücksendungen blockieren kann, die über die Ihres Unternehmens übermittelt wurden EFIN und CAF Nummer.
6. WENN SIE EIN BETROFFENER ARBEITNEHMER ODER STEUERZAHLER SIND (Minute 1): Gehen Sie zu irs.gov/ippin gleich jetzt und erhalten Sie Ihre 6-stellige IRS Identity Protection PIN (IP PIN):
7. Eine IRS-Identitätsschutz-PIN (IP PIN) ist ein geheimer 6-stelliger Code, der nur Ihnen und dem IRS bekannt ist. Sobald Sie sich bei ** anmeldenirs.gov/ippin**, das IRS-Computersystem weist automatisch jede elektronische Steuererklärung des Formulars 1040 zurück, die unter Ihrer Sozialversicherungsnummer eingereicht wurde (SSN), die nicht genau diese 6 Ziffern enthält IP PIN - auch wenn der Kriminelle Ihr genaues W-2-PDF vor sich hat.
8. Wenn Ihnen BEREITS ein Krimineller zuvorgekommen ist und Ihre elektronisch eingereichte Steuererklärung gerade mit einem IRS-Fehlercode abgelehnt wurde IND-031-04 oder R0000-902-01 („Eine Rücksendung mit dieser SSN wurde bereits eingereicht“):
9. Sie können keine zweite Rückerstattung online per E-Mail einreichen, sobald die Rückerstattung eines Betrügers akzeptiert wurde. Sie müssen Ihr legitimes Formular 1040 auf Papier ausdrucken und ein ausgefülltes IRS-Formular 14039 beifügen (Identity Theft Affidavit) und eine Kopie Ihres echten W-2 und senden Sie das Papierpaket an das IRS-Einreichungszentrum für Ihren Bundesstaat (oder senden Sie Formular 14039 online unter irs.gov/dmaf beim Versenden Ihrer Papierrücksendung).
10. Frieren Sie Ihre 3 primären Kreditauskunfteien ein (Equifax, Experian, TransUnion) PLUS die 3 Sekundärbüros (ChexSystems, LexisNexis, und The Work Number):
11. Weil ein W-2-Leck Ihre SSN, Ihr genaues Gehalt und Ihren Arbeitgeber preisgibt EINKriminelle nutzen W-2-Daten nicht nur für Steuerbetrug, sondern auch zur Eröffnung von Bankkonten (ChexSystems), Autokredite und gefälschte Arbeitslosenansprüche (State Workforce Agency).
12. Erstellen Sie Ihr persönliches my Social Security Konto (ssa.gov/myaccount) und Ihr staatliches Steuerportal-Konto, bevor die Kriminellen sie in Ihrem Namen registrieren:
13. Identitätsdiebe, die Ihr W-2 besitzen, stürmen regelmäßig auf Sie zu ssa.gov und Ihr staatliches Finanzministerium/Arbeitslosenportal, um Ihr nicht erstelltes Online-Profil unter Verwendung Ihres W-2-Lohnverlaufs als Antwort auf die „wissensbasierte Überprüfung“ anzufordern. Registrieren Sie sofort Ihre eigenen Konten, damit die Kriminellen ausgesperrt werden.

Entscheidungsbaum: Sofortige Reaktion am ersten Tag für Arbeitgeber/Wirtschaftsprüfer vs. betroffene Mitarbeiter¶

Folgen Sie dem Zweig, der Ihrer Rolle entspricht (Organisation/HR/CPA vs. einzelner Mitarbeiter/Kunde), um alle obligatorischen Eindämmungsschritte in den ersten 24 Stunden auszuführen:

flowchart TD
    Start["W-2 Payroll-Phishing-Leck oder Verstoß gegen den CPA-Steuerserver entdeckt"] --> RoleCheck{"Sind Sie der Arbeitgeber/das Wirtschaftsprüfungsunternehmen oder ein betroffener Arbeitnehmer/Steuerzahler?"}

    RoleCheck -->|"Arbeitgeber, Personalleiter, Gehaltsabrechnungsanbieter oder Wirtschaftsprüfer"| OrgBranch["PHASE 1A: Obligatorische organisatorische und IRS-Eindämmung (Stunden 1 bis 24)"]
    RoleCheck -->|"Betroffener Mitarbeiter, Auftragnehmer (1099) oder CPA-Kunde"| EmpBranch["PHASE 1B: Individuelle SSN und Steuersperre (Minuten 1 bis 60)"]

    OrgBranch --> IRSNotify["1. Senden Sie eine E-Mail an dataloss@irs.gov (Betreff: „W2-Datenverlust“) und benachrichtigen Sie die Federation of Tax Administrators (StateAgencies@taxadmin.org)."]
    IRSNotify --> CPACheck{"Wurde ein CPA-Steuersoftwareserver (Drake / Lacerte / ProSeries / CCH) verletzt?"}
    CPACheck -->|"Ja: CPA-Firma"| CPASteps["2. Rufen Sie IRS Stakeholder Liaison an -> Prüfen Sie die Anzahl der EFIN-Übertragungen in E-Services -> Melden Sie es der FTC (Safeguards Rule), wenn >= 500 Kunden"]
    CPACheck -->|"Nein: Corporate W-2 BEC Phish"| BECSteps["2. Überprüfen Sie, ob der Phisher tatsächlich Zugriff auf sein Postfach hatte (M365/Google-Audit-Protokolle) im Vergleich zu externer Spoof-Anzeige des Anzeigenamens -> FBI-IC3-Bericht einreichen"]

    CPASteps --> NotifyStaff["3. Benachrichtigen Sie alle betroffenen Mitarbeiter/Kunden innerhalb von 24-72 Stunden, damit sie IRS-IP-PINs sperren können, bevor Betrüger sie per E-Mail einreichen"]
    BECSteps --> NotifyStaff

    EmpBranch --> LockIPPIN["1. Registrieren Sie sich sofort für die IRS-Identitätsschutz-PIN unter irs.gov/ippin (blockiert betrügerische 1040-E-Einreichung)."]
    LockIPPIN --> AlreadyFiled{"Hat der Betrüger bereits eine E-Mail unter Ihrer SSN eingereicht (Ablehnungscode IND-031-04 / R0000-902-01)?"}

    AlreadyFiled -->|"Ja: Rückgabe als Duplikat abgelehnt"| File14039["2A. Reichen Sie das IRS-Formular 14039 online ein (irs.gov/dmaf) UND senden Sie das unterschriebene Papierformular 1040 + W-2 + Formular 14039 per Post"]
    AlreadyFiled -->|"Nein: Noch nicht eingereicht"| ClaimPortals["2B. Fordern Sie Ihr Konto unter ssa.gov/myaccount, irs.gov und im State Tax / Unemployment Portal an"]

    File14039 --> FreezeAll["3. Einfrieren von Equifax, Experian, TransUnion, ChexSystems, LexisNexis und Equifax „The Work Number“"]
    ClaimPortals --> FreezeAll

Phase 1: Notfall-Playbook für Arbeitgeber, Personalleiter und Wirtschaftsprüfer (Stunden 1 bis 24)¶

Wenn eine Gehaltsabrechnungsabteilung auf die klassische W-2-Spear-Phishing-E-Mail eines CEO hereinfällt („Hallo [Name], ich bin in einer Vorstands-/Prüfungssitzung und benötige sofort PDF-Kopien aller W-2-Formulare der Mitarbeiter für 2025, bitte als Anhang senden“), oder wenn eine Wirtschaftsprüfungsgesellschaft ein nicht autorisiertes Fernzugriffstool entdeckt (ScreenConnect, AnyDesk, Splashtop) exportierter Client .tax Dateien, Geschwindigkeit bestimmt, wie viele Mitarbeiter einen tatsächlichen Steuererklärungsdiebstahl erleiden.

Schritt 1: Benachrichtigen Sie die IRS W-2 Data Loss Unit (dataloss@irs.gov) in Stunde 1¶

Der Internal Revenue Service unterhält eine spezielle Pipeline für schnelle Reaktionen mit dem Sicherheitsgipfel (IRS, staatliche Finanzämter und Anbieter von Steuersoftware), insbesondere um Massenfilter für systemischen Betrug auf jeder SSN zu platzieren, die mit einem Arbeitgeber verbunden ist, der die Daten verletzt hat EIN. 1. Senden Sie umgehend eine unverschlüsselte Klartext-E-Mail an dataloss@irs.gov: - Betreffzeile: W2 Data Loss - Der Text muss Folgendes enthalten: - Firmen-/Organisationsname - Identifikationsnummer des Arbeitgebers (EIN) (alle betroffen EINs wenn mehrere Tochtergesellschaften einbezogen wurden) - Name, Titel, direkte Telefonnummer und E-Mail-Adresse der Kontaktperson - Datum, an dem das W-2-Leck auftrat, und Datum der Entdeckung - Wie es zu dem Leck kam (z. B. „CEO-E-Mail-Spoofing an Gehaltsabrechnungsmanager“ oder „Unautorisierter Zugriff auf Gehaltsabrechnungsportal“) - Gesamtzahl der betroffenen Mitarbeiter/Formulare (W-2, 1099-NECusw.) - KRITISCH: Fügen Sie dieser ersten E-Mail KEINE Tabellenkalkulation oder PDF der Mitarbeiter-SSNs bei. Innerhalb weniger Stunden antwortet ein IRS-Ermittler mit sicheren Anweisungen zum Hochladen der maskierten/verschlüsselten Liste der betroffenen SSNs, damit der IRS die Integritäts- und Compliance-Dienste zurücksendet (RICS)-Engine kann sofort eine Betrugsmarkierung auf dem Steuerkonto jedes Mitarbeiters platzieren.

Schritt 2: Benachrichtigen Sie ALLE staatlichen Steuerbehörden in einer einzigen E-Mail über den Verband der Steuerverwalter (FTA)¶

Den Mitarbeitern werden auch ihre staatlichen Einkommenssteuerrückerstattungen mithilfe von Box 15/16/17 des durchgesickerten W-2 gestohlen. Anstatt 50 verschiedene Telefonnummern des US-Finanzministeriums nachzuschlagen: - E-Mail StateAgencies@taxadmin.org (verwaltet vom Verband der Steuerverwalter FTA in Zusammenarbeit mit dem IRS Security Summit). - Geben Sie den Namen Ihres Unternehmens, Ihre Kontaktdaten und die Bundesstaaten an, in denen Sie Mitarbeiter haben (geben Sie keine SSNs in die E-Mail ein), und die FTA wird die W-2-Sperre auf Landesebene unverzüglich mit jedem betroffenen Finanzministerium des Staates koordinieren.

Schritt 3: Zusätzliche obligatorische Maßnahmen, wenn Sie eine Wirtschaftsprüfungsgesellschaft oder ein Steuerberater sind¶

Wenn eine Steuerberatungsfirma (CPA, EA, Tax Attorneyoder Buchhaltungsdienstleister) einen Verstoß gegen die Steuerunterlagen des Kunden erleidet (Drake, Lacerte, ProSeries, UltraTax, CCH, TaxSlayer Pro, ATX): 1. Melden Sie sich bei IRS e-Services an (irs.gov/e-services) sofort und überprüfen Sie Ihre EFIN Status: Überprüfen Sie die Anzahl der Rücksendungen, die unter der Electronic Filing Identification Number () Ihres Unternehmens übermittelt wurden.EFIN). Angreifer, die gegen CPA-Workstations vorgehen, übermitteln über Nacht stillschweigend Hunderte geänderter Formular-1040-Retouren von Kunden (wobei nur die Direkteinzahlungsroute und die Kontonummern auf Formular 1040/Formular 8888 an die Green Dot-/Chime-/Prepaid-Mule-Konten des Angreifers geändert werden). 2. Kontaktieren Sie umgehend Ihren örtlichen IRS-Stakeholder-Kontakt: Finden Sie die Stakeholder-Kontaktperson Ihres Staates unter irs.gov/businesses/small-businesses-self-employed/stakeholder-liaison-local-contacts. Die Stakeholder-Verbindung wird sich mit der Kriminalpolizei des IRS koordinieren (IRS-CI) und stellen Sie einen Ersatz aus EFIN wenn Ihres kompromittiert wurde. 3. Beachten Sie die FTC Safeguards Rule (16 CFR Part 314) 30-Tage-Mandat zur Benachrichtigung bei Verstößen: Alle professionellen Steuerberater in den Vereinigten Staaten sind gemäß dem Gramm-Leach-Bliley Act (GLBA) und die FTC Safeguards Rule. Gemäß der geänderten FTC Safeguards Rule (gültig ab Mai 2024) muss jeder Verstoß im Zusammenhang mit den unverschlüsselten, nicht öffentlichen personenbezogenen Daten von 500 oder mehr Verbrauchern elektronisch der Federal Trade Commission (FTC) innerhalb von 30 Tagen nach Entdeckung.

Schritt 4: Reichen Sie einen FBI-IC3-Bericht und Verstoßmitteilungen des Generalstaatsanwalts ein¶

1. Reichen Sie einen W-2 Business Email Compromise-Bericht unter ic3.gov (FBI Internet Crime Complaint Center): Vollständig einschließen RFC 5322 Original-E-Mail-Header (Authentication-Results, Received: from IP-Adressen, Reply-To: Domain) der Phishing-E-Mail, die Ihren Lohn- und Gehaltsabrechnungsmitarbeiter ausgetrickst hat.
2. Überprüfen Sie, ob das E-Mail-Konto Ihres Mitarbeiters tatsächlich gehackt oder extern gefälscht wurde:
3. Überprüfen Sie die Microsoft Entra ID-/Google Workspace-Überwachungsprotokolle: Hat eine externe Domäne (ceo-companyname.com oder ein gmail.com Antwortadresse) einfach den Anzeigenamen des CEO fälschen, oder hat sich ein Angreifer tatsächlich in das echte Postfach des CEO oder HR-Mitarbeiters eingeloggt? Wenn sich ein Angreifer direkt in das HR-/Lohnbuch-Postfach eingeloggt hat, werden alle historischen W-2-, Direkteinzahlungsschecks und I-9-Reisepässe gescannt Sent Items und Inbox ist ebenfalls gefährdet. Folgen Sie E-Mail-Konto gehackt, Weiterleitungsregeln und Wiederherstellung.
4. Senden Sie umgehend eine dringende „Day-1 Heads-Up“-Benachrichtigung an alle betroffenen Mitarbeiter: Auch wenn Ihr formelles Schreiben über einen Verstoß gegen das Landesrecht (einschließlich 12 bis 24 Monate bezahlter Identitätsüberwachung, z. B IDX, Experian IdentityWorks, Norton LifeLock, oder KrollDie Bereitstellung dauert 3 bis 5 Tage. Senden Sie am ersten Tag eine interne Benachrichtigung an Ihre Mitarbeiter und weisen Sie sie an, eine IRS-Identitätsschutz-PIN (irs.gov/ippin) und ihre Kreditauskunfteien heute einfrieren, bevor die Kriminellen in ihrem Namen Steuererklärungen einreichen.

Phase 2: Komplettes Schutz-Playbook für betroffene Mitarbeiter und Steuerzahler¶

Wenn Sie gerade eine E-Mail oder einen Brief erhalten haben, aus dem hervorgeht, dass die W-2-Dateien Ihres Arbeitgebers oder der Steuerserver Ihres CPA gehackt wurden, melden Sie sich nicht einfach für den kostenlosen 1-Jahres-Kreditüberwachungscode an und entspannen Sie sich. Die Kreditüberwachung sendet Ihnen erst eine Benachrichtigung, nachdem ein Kredit eröffnet wurde, und die Kreditüberwachung hat keinen Einblick in IRS-Steuererklärungen, Arbeitslosenansprüche oder Änderungen bei der Gehaltsabrechnung bei Direkteinzahlungen.

Vergleichen Sie, was ein W-2-Leck aufdeckt, und die genaue Sperre, die zum Schließen jeder Schwachstelle erforderlich ist:

Schritt-für-Schritt-Anleitung zum Lockdown für Mitarbeiter (dauert insgesamt 35 Minuten)¶

Schritt 1: Sperren Sie Ihr IRS-Steuerkonto mit einer Identitätsschutz-PIN (IP PIN)¶

1. Gehen Sie direkt zum offiziellen IRS-Portal: https://www.irs.gov/identity-theft-fraud-scams/get-an-identity-protection-pin (irs.gov/ippin).
2. Klicken Sie auf „IP-PIN anfordern“ und melden Sie sich mit Ihrer bestehenden an ID.me / IRS-Konto (oder überprüfen Sie Ihre Identität, um eines zu erstellen).
3. Tipp: Durch die Erstellung Ihres IRS.gov / ID.me Wenn Sie jetzt ein Konto erstellen, verhindern Sie auch, dass die Kriminellen eine Fälschung erstellen ID.me Konto unter Ihrer SSN, um Ihre alten Steuerbescheinigungen herunterzuladen.
4. Nach der Überprüfung wird auf dem Bildschirm sofort Ihre 6-stellige Zahl angezeigt IP PIN. Speichern Sie diese Nummer in Ihrem Passwort-Manager.
5. Wie das IP PIN funktioniert: Wenn Sie (oder Ihr CPA) dieses Jahr Ihre echte Bundessteuererklärung einreichen, geben Sie diese 6-stellige Nummer in das ein Identity Protection PIN Feld neben Ihrer Unterschrift auf Formular 1040. Wenn ein Krimineller versucht, eine Steuererklärung per E-Mail mit Ihrer SSN ohne genau diesen 6-stelligen Code einzureichen, lehnt der E-File-Server des IRS die Einreichung innerhalb einer Millisekunde ab. (Hinweis: Jeden Januar generiert der IRS einen neuen sechsstelligen Betrag IP PIN in Ihrem Online-Konto für die neue Anmeldesaison.)
6. Wenn Sie verheiratet sind und einreichen Married Filing Jointly: Lassen Sie Ihren Ehepartner ebenfalls eine beantragen IP PIN für ihre SSN, auch wenn nur Ihr Arbeitgeber verletzt wurde, da in einer gemeinsamen Steuererklärung beide SSNs aufgeführt sind.

Schritt 2: Reichen Sie das IRS-Formular 14039 ein (Identity Theft Affidavit) NUR bei Bedarf¶

Senden Sie kein das Papierformular 14039 per Post, wenn Sie erfolgreich ein Formular erhalten haben IP PIN online und es wurde noch keine betrügerische Steuererklärung eingereicht - der IRS empfiehlt ausdrücklich, eine Steuererklärung einzuholen IP PIN Online ist schneller und vermeidet Verzögerungen bei der Papierbearbeitung. Sie MÜSSEN jedoch das IRS-Formular 14039 einreichen (Identity Theft Affidavit) sofort, wenn: - Ihre elektronisch eingereichte Steuererklärung wurde abgelehnt, weil jemand bereits eine Steuererklärung unter Verwendung Ihrer SSN eingereicht hat (IND-031-04 / R0000-902-01), ODER - Sie können Ihre Identität online nicht überprüfen unter irs.gov/ippin, ODER - Sie haben eine IRS-Mitteilung erhalten (CP01E, 5071C, 4883C, 5747C, oder CP2000) mit Verweis auf eine Steuererklärung, die Sie nicht abgegeben haben, oder auf Löhne von einem Arbeitgeber, für den Sie nie gearbeitet haben. - So reichen Sie das Formular 14039 ein: Sie können es online über das IRS Document Upload Tool unter ** einreichen.irs.gov/dmaf** (bei Einreichung vor einer doppelten Ablehnung) oder fügen Sie das unterschriebene Papier Formular 14039 direkt hinter Ihrem unterschriebenen Papier Formular 1040 bei und senden Sie es per Post an das IRS-Zentrum Ihres Staates.

Schritt 3: Platzieren Sie kostenlose dauerhafte Sicherheitsstopps in allen 7 Büros (Primär- und Sekundärbüros)¶

Nach Bundesgesetz (Economic Growth, Regulatory Relief, and Consumer Protection Act), ist das Einfrieren und Freigeben Ihres Guthabens bei jedem Büro 100 % kostenlos. Lassen Sie sich nicht von den Agenturen zu einem „Credit Lock“-Produkt verkaufen, das für 19,99 $/Monat bezahlt wird; Wählen Sie immer den gesetzlichen „Security Freeze“:

1. Equifax: equifax.com/personal/credit-report-services/credit-freeze/ oder anrufen 1-888-298-0045.
2. Experian: experian.com/freeze/center.html oder anrufen 1-888-397-3742.
3. TransUnion: transunion.com/credit-freeze oder anrufen 1-800-916-8800.
4. Innovis (Das 4. Verbraucherkreditbüro): innovis.com/personal/securityFreeze oder anrufen 1-866-712-4546.
5. ChexSystems (Hört Betrüger davon ab, betrügerische Giro-/Sparkonten in Ihrem Namen zu eröffnen): chexsystems.com/security-freeze/place-freeze oder anrufen 1-800-428-9623.
6. LexisNexis Risk Solutions (wird von Autoversicherern, Hypothekengebern und Regierungsportalen verwendet): consumer.risk.lexisnexis.com/freeze oder anrufen 1-800-456-1244.
7. Equifax The Work Number (Wird zur Beschäftigungs-/Gehaltsüberprüfung und für Kurzzeitkredite verwendet): Rufen Sie an1-800-367-2884 oder besuchen Sie uns employees.theworknumber.com und fordern Sie ein ** anEmployee Data Freeze** auf Ihrer SSN.

Schritt 4: Fordern Sie Ihre an my Social Security (ssa.gov) und Mitarbeiter-Gehaltsabrechnungsportal (ADP / Workday / Gusto)¶

1. Besuchen Sie https://www.ssa.gov/myaccount/ und stellen Sie sicher, dass Ihr Sozialversicherungskonto mit Ihrer eigenen E-Mail-Adresse und Authenticator/Login.gov 2FA registriert ist. Sobald Ihr ssa.gov Wenn Sie Ihr Konto beanspruchen, kann kein Krimineller ein Online-Sozialversicherungskonto unter Ihrer Sozialversicherungsnummer registrieren oder zukünftige Leistungen abzweigen.
2. Melden Sie sich beim Self-Service-Gehaltsabrechnungsportal Ihres Arbeitgebers an (ADP, Workday, Paychex, Gusto, Rippling, Paylocity, UKG). Da ein W-2 die genauen Dollarbeträge enthält, nach denen einige alte Helpdesks für die Lohn- und Gehaltsabrechnung beim Zurücksetzen eines Passworts fragen („Wie hoch war Ihr Box 1 YTD-Bruttogehalt für Ihren W-2 2025?“), aktivieren Sie sofort Authenticator App oder Passkey 2FA in Ihrem Lohn- und Gehaltsabrechnungs-Login und stellen Sie sicher, dass Ihre Bankleitzahl/Kontonummer für Direkteinzahlungen nicht geändert wurde.

Phase 3: Was tun, wenn Sie eine gefälschte staatliche Arbeitslosenmeldung erhalten (1099-G) oder IRS-Balance-Due Notice Monate später¶

Da W-2-Datenbanken nach dem ersten Phishing-Leck noch Jahre lang auf Dark-Web-Märkten weiterverkauft werden, sollten Sie auf diese beiden verzögerten Angriffe achten:

1. Betrügerische staatliche Arbeitslosenforderung (Sie erhalten eine Debitkarte, einen PIN-Mailer oder ein Formular 1099-G per Post oder Ihre Personalabteilung erhält eine „Anfrage nach Trennungsinformationen“, während Sie noch dort arbeiten)¶

• Schritt 1: Benachrichtigen Sie umgehend Ihre Personalabteilung und Ihre State Workforce Agency (SWA) Betrugshotline (dol.gov/general/topic/unemployment-insurance listet alle staatlichen Betrugsportale auf).
• Schritt 2: Melden Sie KEINE betrügerischen Handlungen 1099-G Arbeitsloseneinkommen in Ihrer Bundessteuererklärung. Gemäß IRS-Anleitung (IR-2021-24), auch wenn Ihre staatliche Behörde Ihnen noch keine Korrektur zugesandt hat $0 Formular 1099-G Geben Sie bis zum 15. April auf Ihrem Formular 1040 nur das reale Einkommen an, das Sie tatsächlich erhalten haben; Wenn Sie bei Ihrer Rückkehr die gefälschte Arbeitslosenunterstützung des Betrügers melden, werden Sie fälschlicherweise mit Geld besteuert, das Sie nie angerührt haben.

2. Identitätsdiebstahl im Zusammenhang mit der Beschäftigung (Jemand verwendet Ihre gestohlene SSN auf einem I-9 / W-4 um an einem anderen Arbeitsplatz zu arbeiten, und der IRS sendet Ihnen eine CP2000 Hinweis, dass Sie die Löhne eines unbekannten Unternehmens zu niedrig angegeben haben)¶

• Reagieren Sie auf die CP2000 Markieren Sie dies, indem Sie das Kästchen ankreuzen, aus dem hervorgeht, dass Sie nie für diesen Arbeitgeber gearbeitet haben, fügen Sie das IRS-Formular 14039 bei (Kästchen 2 markieren: „Jemand hat meine Daten verwendet, um Einkommen zu erzielen“) und überprüfen Sie darin Ihre Jahresverdiensthistorie ssa.gov/myaccount jedes Frühjahr, um sicherzustellen, dass der Lohn von Fremden nicht in Ihrer Sozialversicherungsakte verbucht wird.

Phase 4: Checkliste zur organisatorischen Prävention - Stoppen von W-2-Phishing und CPA-Verstößen¶

• Etablieren Sie eine eiserne „Zero Email W-2“-Unternehmensregel: Machen Sie eine schriftliche Unternehmensrichtlinie - unterzeichnet vom CEO, CFO und jedem Personal-/Gehaltsabrechnungsmitarbeiter -, dass keine Mitarbeiter-W-2-, 1099- oder Gehaltsabrechnungsdatei per E-Mail-Anhang an irgendjemanden, einschließlich des CEO oder des Vorstands, gesendet werden darf, ohne eine persönliche oder Live-Videoüberprüfung durch mehrere Personen und eine verschlüsselte Portalübertragung.
• Konfigurieren Sie die Verhinderung von ausgehendem Datenverlust (DLP) Regeln in Microsoft Purview (M365) oder Google Workspace: Erstellen Sie eine automatisierte ausgehende DLP-Transportregel, die alle externen ausgehenden E-Mails blockiert, die mehr als drei US-Sozialversicherungsnummern enthalten (SSN) Regex-Muster (\b\d{3}-\d{2}-\d{4}\b) oder Form W-2 Vorlagen**. Wenn ein HR-Mitarbeiter versucht, ein 50-seitiges W-2-PDF an eine externe E-Mail-Adresse anzuhängen, blockiert der Mailserver die Übertragung automatisch, bevor auch nur ein einziges Byte das Gebäude verlässt.
• Fügen Sie ein Warnbanner für externe Absender hinzu ([EXTERNAL EMAIL - SPOOF WARNING]) Insbesondere Anzeigenamen von Führungskräften kennzeichnen: Konfigurieren Sie eine Anti-Identitätsregel für Exchange Online/Google Workspace (VIP / Executive Spoof Protection), der alle eingehenden E-Mails von außerhalb der Organisation, deren Person, unter Quarantäne stellt oder ein leuchtend rotes Warnbanner darauf klebt From: Der angezeigte Name entspricht dem genauen Vor- und Nachnamen Ihres CEO, CFO oder General Counsel.
• Für CPA-Firmen: Steuersoftware-Server isolieren (Drake, Lacerte, ProSeries) Hinter Phishing-Resistant FIDO2 MFA und schriftlich WISP Kontrollen: Jede US-Steuerpraxis ist durch die IRS-Veröffentlichung 4557 (und die jährliche) vorgeschrieben PTIN Kontrollkästchen für Erneuerung), um einen schriftlichen Schriftlichen Informationssicherheitsplan (WISP), Multi-Faktor-Authentifizierung erzwingen (MFA) für alle lokalen und Cloud-Steuersoftware-Anmeldungen und verbieten Sie das nicht authentifizierte Remotedesktopprotokoll (RDP Hafen 3389) Belichtung.

Regionale Notrufnummern und Behördenprotokolle¶

Wenn Ihre Organisation oder Ihre persönliche Steueridentität durch einen Verstoß gegen die Lohn- und Gehaltsabrechnung oder die Steuererklärung gefährdet wurde, melden Sie dies den zuständigen Steuer- und Datenschutzbehörden in Ihrem Zuständigkeitsbereich:

• Vereinigte Staaten: E-Mail des Arbeitgebers dataloss@irs.gov (Betreff: W2 Data Loss) und StateAgencies@taxadmin.org. Steuerzahler rufen an 1-800-908-4490 (IP PIN: irs.gov/ippin; Online-Formular 14039: irs.gov/dmaf). W-2-Phishing bei FBI IC3 melden (ic3.gov) und IdentityTheft.gov (1-877-438-4338).
• Kanada (T4 / SIN Verstöße): Rufen Sie die CRA Identity Protection Services an (1-800-959-8281), um eine Sicherheits-PIN auf Ihrem zu hinterlegen SIN, und melden Sie organisatorische Verstöße im Rahmen von PIPEDA dem OPC (priv.gc.ca / 1-800-282-1376).
• Vereinigtes Königreich (P60 / NINo Verstöße): Meldung an HMRC (0300 200 3300 / phishing@hmrc.gov.uk), benachrichtigen Sie den ICO (0303 123 1113) innerhalb von 72 Stunden gemäß der britischen DSGVO, melden Sie sich bei Action Fraud (0300 123 2040) und melden Sie sich bei Cifas Protective Registration (cifas.org.uk).
• Europäische Union: Benachrichtigen Sie Ihre nationale Datenschutzbehörde (DPA) innerhalb von 72 Stunden gemäß Artikel 33 der DSGVO und Benachrichtigung der betroffenen Mitarbeiter gemäß Artikel 34.
• Australien und Neuseeland (TFN / IRD Verstöße): Rufen Sie in Australien das ATO Client Identity Support Center an (1800 467 033) um Ihr zu sperren TFN, Bericht im Rahmen des OAIC NDB-Programms (oaic.gov.au) und rufen Sie IDCARE (1800 595 160). Rufen Sie in Neuseeland Inland Revenue (0800 227 774).
• Indien und Asien-Pazifik (Form 16 / PAN Verstöße): Melden Sie sich an CERT-In (incident@cert-in.org.in) innerhalb von 6 Stunden, anrufen 1930 (cybercrime.gov.in) und aktivieren Sie Aadhaar Biometric Lock (myaadhaar.uidai.gov.in).

Häufig gestellte Fragen¶

Hält das Einfrieren meines Guthabens bei Equifax, Experian und TransUnion einen Kriminellen davon ab, mit meinem durchgesickerten W-2-Formular eine gefälschte IRS-Steuererklärung einzureichen?¶

Nein, überhaupt nicht. Ein Kreditstopp bei Equifax, Experian und TransUnion hindert Banken und Kreditgeber lediglich daran, Ihre Verbraucherkreditauskunft abzurufen, um neue Kreditkarten, Autokredite oder Hypotheken zu eröffnen. Der Internal Revenue Service (IRS) und staatliche Finanzministerien Rufen Sie niemals Ihre Verbraucherkreditauskunft ab wenn Sie eine Steuererklärung einreichen. Die nur Sperre, die einen Kriminellen davon abhält, eine betrügerische Steuererklärung des Formulars 1040 mit Ihrem durchgesickerten W-2 per E-Mail einzureichen, ist eine IRS-Identitätsschutz-PIN (IP-PIN) erhalten Sie direkt bei irs.gov/ippin.

Wie lange verzögert sich meine tatsächliche Steuerrückerstattung, wenn ein Betrüger bereits eine gefälschte Steuererklärung unter meiner SSN per E-Mail eingereicht hat, bevor ich eine IP-PIN erhalten habe?¶

Wenn Ihre elektronische Steuererklärung als Duplikat abgelehnt wurde (`IND-031-04`) und Sie mussten ein Papierformular 1040 mit Formular 14039 (`Identity Theft Affidavit`), die IRS Identity Theft Victim Assistance (`IDTVA`) muss die beiden konkurrierenden Steuererklärungen manuell untersuchen, die betrügerische Steuererklärung des Kriminellen aus Ihrem Hauptsteuerprotokoll entfernen und Ihre Papiererklärung bearbeiten. Abhängig von den aktuellen IRS IDTVA-Inventarrückständen dauert die Bearbeitung einer doppelten Steuererklärung wegen Identitätsdiebstahls in der Regel zwischen 120 Tage und 360+ Tage (Obwohl der IRS gesetzliche Zinsen für rechtmäßige Rückerstattungen zahlt, die mehr als 45 Tage nach dem 15. April verspätet sind, sendet Ihnen der IRS nach der Lösung automatisch eine neue 6-stellige Rückerstattung zu IP-PIN jeden Januar auf Lebenszeit).

Mein Arbeitgeber bot nach dem W-2-Leck 12 oder 24 Monate kostenlose Experian IdentityWorks/LifeLock/IDX-Überwachung an. Wenn ich es akzeptiere, verzichte ich dann auf mein Recht, einer Klage beizutreten?¶

In fast allen Standardbriefen zur Benachrichtigung über Datenschutzverletzungen in den Vereinigten Staaten ist die Registrierung für den kostenlosen 12- bis 24-monatigen Identitätsüberwachungscode enthalten, der von Ihrem Arbeitgeber oder Ihrer Wirtschaftsprüfungsgesellschaft bereitgestellt wird verzichtet nicht auf Ihre gesetzlichen Rechte gegenüber dem verletzten Unternehmen - Die Generalstaatsanwälte raten dringend davon ab oder verbieten es, die obligatorische Behebung von Gesetzesverstößen mit Haftungsfreistellungen zu verknüpfen. Lesen Sie jedoch das Kleingedruckte auf der Registrierungswebseite sorgfältig durch: Gelegentlich auch das des Drittanbieters für die Überwachung besitzen Die Nutzungsbedingungen enthalten eine Schiedsklausel zur Regelung von Streitigkeiten mit dem Überwachungsanbieter selbst, das von Ihrem Arbeitgeber getrennt ist.

Was ist, wenn ich die Onlineprüfung nicht bestehen kann? ID.me Überprüfung bei irs.gov/ippin um meine IRS-Identitätsschutz-PIN zu erhalten?¶

Wenn das Online-Tool unter irs.gov/ippin Ihre Identität nicht überprüfen kann (oder wenn Sie die Gesichtserkennung nicht verwenden möchten). ID.me, wo Sie anstelle des automatisierten Selfie-Matchings auch einen Live-Video-Chat-Agenten anfordern können), haben Sie zwei offizielle Alternativen: (1) Wenn Ihr bereinigtes Bruttoeinkommen (`AGI`) unter dem Schwellenwert liegt (84.000 US-Dollar für Einzelpersonen oder 168.000 US-Dollar für gemeinsam eingereichte Ehegatten), können Sie einen Antrag stellen IRS-Formular 15227 (`Application for an Identity Protection Personal Identification Number`) und ein IRS-Assistent wird Sie anrufen, um Ihre Identität telefonisch zu überprüfen; oder (2) unabhängig vom Einkommen können Sie einen persönlichen Termin bei Ihrem nächstgelegenen Arzt vereinbaren IRS Taxpayer Assistance Center (`TAC`) per Anruf 1-844-545-5640 und bringen zwei Formen der Regierungsidentifikation mit.

Kann ein Krimineller mein W-2 verwenden, um mein beim IRS hinterlegtes Bankkonto zu ändern oder meinen Wohntitel zu stehlen?¶

Sobald Sie einen IRS erhalten IP-PIN und beanspruchen Sie Ihr Online-Konto unter irs.gov, kann sich ein Krimineller nicht in Ihr IRS-Profil einloggen oder eine neue Steuererklärung einreichen, um Ihr Rückerstattungs-Direkteinzahlungsbankkonto zu ändern. Was Haustitel- oder Hypothekenbetrug angeht: Während ein W-2 Ihre Sozialversicherungsnummer (SSN) und Ihre Wohnadresse angibt, benötigen die Grundbuchhalter des Landkreises notariell beglaubigte Urkundenunterschriften. Sie können sich für Ihren Bezirksschreiber anmelden Kostenloser E-Mail-Benachrichtigungsdienst für Eigentumsbetrugswarnungen (wird von den meisten Bezirksschreibern in den USA und HM Land Registry Property Alert im Vereinigten Königreich kostenlos angeboten), sodass Sie an dem Tag, an dem ein Dokument für Ihr Grundstück erfasst wird, eine E-Mail erhalten.

Sollte unser Unternehmen neue „korrigierte“ W-2s neu herausgeben (Form W-2c) an Mitarbeiter nach einem W-2-Phishing-Leck?¶

Nein. IRS-Formular W-2c (`Corrected Wage and Tax Statement`) wird nur verwendet, wenn die auf dem Original-W-2 aufgedruckten Dollarbeträge, Namen oder SSN mathematisch oder sachlich falsch waren. Sie können die Sozialversicherungsnummer eines Mitarbeiters oder Ihres Unternehmens nicht ändern `EIN` über a `W-2c`. Mitarbeiter müssen weiterhin ihr originales, korrektes W-2 verwenden, um ihre Steuern einzureichen, während die sofortige Benachrichtigung Ihres Unternehmens erfolgt dataloss@irs.gov und die Einschreibung der Mitarbeiter irs.gov/ippin Schützen Sie den Anmeldeprozess.

Verwandte Leitfäden¶

• Rückruf von Corporate Business Email Compromise (BEC) und Überweisungsbetrug
• Reaktion auf Identitätsdiebstahl
• Synthetischer Identitätsdiebstahl und Einfrieren des SSN-Guthabens für Kinder
• E-Mail-Konto gehackt, Weiterleitungsregeln und Wiederherstellung
• Reaktion auf Datenschutzverletzungen und Passwortlecks
• Betrug mit gefälschten Stellenangeboten, Betrug bei der Gerätekontrolle und Onboarding-Identitätsdiebstahl
• Notrufnummern nach Ländern

Quellen und offizielle Anleitung¶

• Internal Revenue Service (IRS) & Security Summit (USA): Formular W-2 / SSN Data Loss Incident Response Protocol (dataloss@irs.gov), Veröffentlichung 4557 (Safeguarding Taxpayer Data: A Guide for Your Business) und Veröffentlichung 5293 (Data Security Resource Guide for Tax Professionals).
• Internal Revenue Service (IRS) Taxpayer Advocate Service: Identitätsschutz-PIN (IP PIN) Anmeldeverfahren und Formular 14039 (Identity Theft Affidavit) Anleitung.
• Federal Trade Commission (FTC) (Vereinigte Staaten): Standards zum Schutz von Kundeninformationen (FTC Safeguards Rule, 16 CFR Part 314) & IdentityTheft.gov Schritte zur Wiederherstellung von Steueridentitätsdiebstahl.
• Verband der Steuerverwalter (FTA): State Department of Revenue W-2 Data Breach Coordination Protocol (StateAgencies@taxadmin.org).
• Federal Bureau of Investigation (FBI IC3): Bekanntmachungen des öffentlichen Dienstes zur Gehaltsabrechnung W-2 Business Email Compromise (BEC) Spear-Phishing und direkte Einzahlungsumleitung.