Fuga de phishing da nómina da empresa W-2 ou infracción do preparador de impostos do CPA: protexendo o SSN e a declaración de impostos de cada empregado¶

Descubrir que un especialista en recursos humanos ou nóminas acaba de enviar un correo electrónico a .pdf, .csv, ou .zip arquivo do formulario W-2 do IRS de cada empregado actual e anterior (Wage and Tax Statement) ou Formulario 1099 (ou canadense T4, Reino Unido P60, ou australiano PAYG resumo) a un ciberdelincuente que falsificou o enderezo de correo electrónico do director xeral ou externo ao CPA, ou ao saber que o servidor de preparación de impostos da súa empresa de contabilidade (Intuit ProSeries, Lacerte, Drake Tax, CCH Axcess, ou UltraTax CS) incumpriuse mediante unha intrusión de escritorio remoto ou infostealer: é unha emerxencia de identidade de cinco alarmas para cada persoa desa lista. A diferenza do incumprimento dunha tarxeta de crédito de venda polo miúdo (que se resolve en 3 minutos cancelando unha tarxeta de plástico de 16 díxitos), un formulario W-2 ou formulario 1040 filtrado entrega aos criminais as claves mestras permanentes da vida financeira dun individuo: Nome legal completo, número da Seguridade Social de 9 díxitos sen máscara (SSN), enderezo do domicilio, salarios brutos anuais exactos (Box 1), Imposto sobre a Renda Federal e Estatal exacto retenido (Boxes 2 & 17), e o número de identificación do empregador federal de 9 díxitos do empregador (EIN). Os sindicatos criminais monetizan os lotes W-2 roubados dentro das horas seguintes á recepción: alimentan a información exacta EIN, Box 1 salarios, e Box 2 Retención directamente nos robots de ficheiros electrónicos automatizados para pasar os filtros de coincidencia de devolucións do IRS e roubar reembolsos de impostos fraudulentos masivos antes de que os empregados reais teñan incluso presentado os seus impostos. Para unha recuperación máis ampla de compromiso de correo electrónico empresarial, tamén consulte Compromiso de correo electrónico empresarial corporativo (BEC) e retirada de fraude telemático; se a identidade individual dun empregado ou o SSN do fillo xa se está utilizando para préstamos, consulte resposta ao roubo de identidade e roubo de identidade sintético e conxelación do crédito do SSN infantil. Se esta violación implica extorsión física ou unha emerxencia inmediata de seguridade vital, chame ao número de emerxencia local (911 nos Estados Unidos e Canadá, 112 en toda a Unión Europea, 999 no Reino Unido) ou consulte o noso directorio de números de emerxencia.

Fai isto agora¶

1. SE É O EMPREGO, O DIRECTOR DE RRHH OU O ADMINISTRADOR DE NÓMINAS (Hora 1): Informe a perda do W-2/SSN directamente á Unidade de Perda de Datos W-2 do IRS en dataloss@irs.gov INMEDIATAMENTE:
2. Non espere días para que o asesor xurídico externo redacte cartas de notificación aos empregados antes de alertar ao IRS. Cada hora que esperas permítelles aos criminais presentar por correo electrónico centos de declaracións fraudulentas do Formulario 1040 usando o formulario da túa empresa. EIN e filtraron os seus empregados W-2 caixas.
3. Envía un correo electrónico agora mesmo a dataloss@irs.gov coa liña de asunto exacta "W2 Data Loss" que contén o nome da súa empresa, o número de identificación do empregador (EIN), nome de contacto/número de teléfono, un breve resumo de como se produciu a filtración e o número aproximado de empregados afectados (NUNCA anexa a lista de SSN dos empregados a este correo electrónico inicial: un Enlace de partes interesadas do IRS poñerase en contacto contigo cunha canle de transmisión cifrada para que o IRS poida marcar o SSN de todos os empregados afectados contra presentacións electrónicas fraudulentas).
4. SE É CPA, AXENTE INSCRITO OU PREPARADOR TRIBUTARIO (Hora 1): Póñase en contacto co seu enlace local de partes interesadas do IRS E bloquee o seu EFIN / PTIN inmediatamente na súa conta de servizos electrónicos do IRS:
5. Baixo Publicación IRS 4557 (Safeguarding Taxpayer Data) e a **Regra de salvagardas da FTC (16 CFR Part 314(EFIN) ao seu Enlace con partes interesadas do IRS en cuestión de horas, para que o IRS poida bloquear as devolucións fraudulentas transmitidas mediante o servizo da súa empresa. EFIN e CAF número.
6. SE É UN EMPREGADO OU CONTRIBUENTE AFECTADO (Minuto 1): Vaia a irs.gov/ippin agora mesmo e obtén o teu PIN de protección de identidade do IRS de 6 díxitos (IP PIN):
7. Un ** PIN de protección de identidade do IRS (IP PIN)** é un código secreto de 6 díxitos coñecido só por ti e polo IRS. No momento en que te inscribas en irs.gov/ippin, o sistema informático do IRS rexeita automaticamente calquera declaración electrónica do formulario 1040 presentada baixo o seu número de seguro social (SSN) que non inclúe exactamente os 6 díxitos IP PIN - aínda que o criminal teña o teu PDF W-2 exacto diante.
8. Se un criminal XA te golpeou e a túa declaración de impostos presentada por correo electrónico acaba de ser rexeitada co código de erro do IRS IND-031-04 ou R0000-902-01 ("Xa se presentou unha declaración con este SSN"):
9. Non pode enviar unha segunda declaración en liña unha vez que se acepte a devolución dun estafador. Debes imprimir o teu formulario lexítimo 1040 en papel, anexar un formulario IRS 14039 cuberto (Identity Theft Affidavit) e unha copia do seu W-2 real, e envíe o paquete en papel ao centro de arquivo do IRS do seu estado (ou envíe o Formulario 14039 en liña en irs.gov/dmaf ao enviar a súa declaración en papel).
10. Conxela as túas 3 oficinas de crédito primarias (Equifax, Experian, TransUnion) MÁIS as 3 Oficinas Secundarias (ChexSystems, LexisNexis, e The Work Number):
11. Porque unha filtración W-2 expón o teu SSN, o salario exacto e o teu empregador EIN, os criminais usan os datos W-2 non só para fraude fiscal, senón tamén para abrir contas bancarias (ChexSystems), préstamos para automóbiles e solicitudes de desemprego falsas (State Workforce Agency).
12. Crea o teu persoal my Social Security conta (ssa.gov/myaccount) e a túa conta do portal fiscal estatal antes de que os delincuentes os rexistren ao teu nome:
13. Os ladróns de identidades que posúen o teu W-2 corren rutineiramente ssa.gov e o portal do Departamento de Ingresos/Desemprego do teu estado para reclamar o teu perfil en liña sen crear usando o teu historial salarial W-2 como respostas de "verificación baseada no coñecemento". Rexistra as túas propias contas inmediatamente para que os criminais queden bloqueados.

Árbore de decisións: resposta inmediata do día 1 para empresarios/CPA fronte aos empregados afectados¶

Siga a sucursal que coincida coa súa función (Organización/RH/CPA vs. Empregado/Cliente individual) para executar todos os pasos de contención obrigatorios nas primeiras 24 horas:

flowchart TD
    Start["Descubriuse fuga de phishing da nómina W-2 ou infracción do servidor de impostos CPA"] --> RoleCheck{"Vostede é o empresario/a empresa de CPA ou é un empregado/contribuente afectado?"}

    RoleCheck -->|"Empresario, director de recursos humanos, provedor de nóminas ou empresa de CPA"| OrgBranch["FASE 1A: Contención obrigatoria da organización e do IRS (horas 1 a 24)"]
    RoleCheck -->|"Empregado afectado, contratista (1099) ou cliente CPA"| EmpBranch["FASE 1B: SSN individual e bloqueo fiscal (minutos 1 a 60)"]

    OrgBranch --> IRSNotify["1. Envíe un correo electrónico a dataloss@irs.gov (Asunto: 'W2 Data Loss') e notifique á Federación de Administradores Tributarios (StateAgencies@taxadmin.org)"]
    IRSNotify --> CPACheck{"Incumpriuse un servidor de software CPA Tax (Drake/Lacerte/ProSeries/CCH)?"}
    CPACheck -->|"Si: CPA Firma"| CPASteps["2. Chame ao enlace de partes interesadas do IRS -> Auditoría dos recontos de transmisión EFIN nos servizos electrónicos -> Informe á FTC (Regra de garantías) se >= 500 clientes"]
    CPACheck -->|"No: Corporate W-2 BEC Phish"| BECSteps["2. Comprobe se Phisher tiña acceso real á caixa de correo (Rexistros de auditoría de M365/Google) fronte á falsificación do nome de visualización externo -> Ficheiro do informe IC3 do FBI"]

    CPASteps --> NotifyStaff["3. Notifique a todos os empregados/clientes afectados nun prazo de 24 a 72 horas para que poidan bloquear os PIN IP do IRS antes do ficheiro electrónico dos estafadores"]
    BECSteps --> NotifyStaff

    EmpBranch --> LockIPPIN["1. Inscríbase no PIN de protección de identidade do IRS inmediatamente en irs.gov/ippin (bloquea a presentación electrónica fraudulenta 1040)"]
    LockIPPIN --> AlreadyFiled{"O estafador xa presentou un ficheiro electrónico baixo o teu SSN (código de rexeitamento IND-031-04 / R0000-902-01)?"}

    AlreadyFiled -->|"Si: devolución rexeitada como duplicado"| File14039["2A. Envíe o Formulario 14039 do IRS en liña (irs.gov/dmaf) E o Formulario 1040 en papel asinado por correo + W-2 + Formulario 14039"]
    AlreadyFiled -->|"Non: aínda non arquivado"| ClaimPortals["2B. Reclame a súa conta en ssa.gov/myaccount, irs.gov e no portal estatal de impostos/desemprego"]

    File14039 --> FreezeAll["3. Conxela Equifax, Experian, TransUnion, ChexSystems, LexisNexis e Equifax 'The Work Number'"]
    ClaimPortals --> FreezeAll

Fase 1: Manual de emerxencia para empresarios, directores de recursos humanos e empresas de CPA (horas 1 a 24)¶

Cando un departamento de nóminas cae polo clásico correo electrónico de phishing do CEO W-2 ("Ola, [Nome], estou nunha reunión de auditoría e necesito copias en PDF de todos os W-2 dos empregados para 2025, envíe como anexo"*) ou cando unha empresa de CPA descubra unha ferramenta de acceso remoto non autorizada (ScreenConnect, AnyDesk, Splashtop) cliente exportado .tax ficheiros, velocidade determina cantos empregados sofren o roubo real da declaración de impostos.

Paso 1: notifique á Unidade de Perda de Datos W-2 do IRS (dataloss@irs.gov) na hora 1¶

O Servizo de Impostos Internos mantén unha canalización dedicada de resposta rápida co Cumio de Seguridade (IRS, departamentos de ingresos estatais e provedores de software fiscal) especificamente para colocar filtros masivos de fraude sistémica en cada SSN asociado a un empregador incumprido. EIN. 1. Envíe un correo electrónico de texto simple sen cifrar inmediatamente a dataloss@irs.gov: - Asunto: W2 Data Loss - O texto do corpo debe incluír: - Nome legal da empresa/organización - Número de identificación do empresario (EIN) (todos afectados EINs se se incluíron varias subsidiarias) - Nome da persoa de contacto, título, número de teléfono directo e enderezo de correo electrónico - Data na que se produciu a fuga de W-2 e data de descubrimento - Como se produciu a filtración (por exemplo, "Suplantación de correo electrónico do CEO ao xestor de nóminas" ou "Acceso non autorizado ao portal de nóminas") - Número total de empregados/formularios afectados (W-2, 1099-NEC, etc.) - CRÍTICO: NON anexar a folla de cálculo ou PDF dos SSN dos empregados a este correo electrónico inicial. Dentro dunhas horas, un investigador do IRS responderá con instrucións seguras para cargar a lista enmascarada/cifrada dos SSN afectados para que o IRS Return Integrity and Compliance Services (RICS) pode colocar un marcador de fraude inmediato na conta fiscal de cada empregado.

Paso 2: notifique a TODAS as Axencias Tributarias estatais nun único correo electrónico a través da Federación de Administradores Tributarios (FTA)¶

Os empregados tamén teñen os seus reembolsos do imposto sobre a renda do Estado roubados usando a caixa 15/16/17 do W-2 filtrado. En lugar de buscar 50 números de teléfono do Departamento de Ingresos do Estado: - Correo electrónico StateAgencies@taxadmin.org (mantido pola Federación de Administradores Tributarios FTA en colaboración co IRS Security Summit). - Proporcione o nome da súa empresa, os datos de contacto, que indica que ten empregados (non inclúa os SSN no correo electrónico) e a FTA coordinará inmediatamente o bloque W-2 a nivel estatal con cada Departamento de Ingresos do Estado afectado.

Paso 3: accións obrigatorias adicionais se é unha empresa de CPA ou un preparador fiscal¶

Se unha empresa de preparación de impostos (CPA, EA, Tax Attorney, ou servizo de contabilidade) sofre un incumprimento dos ficheiros fiscais do cliente (Drake, Lacerte, ProSeries, UltraTax, CCH, TaxSlayer Pro, ATX): 1. Inicie sesión nos servizos electrónicos do IRS (irs.gov/e-services) inmediatamente e comprobe o seu EFIN estado: Comprobe o número de declaracións transmitidas co Número de identificación de presentación electrónica da súa empresa (EFIN). Os atacantes que incumpren as estacións de traballo CPA transmiten silenciosamente centos de devolucións do formulario 1040 do cliente modificado durante a noite (cambiando só o enrutamento do depósito directo e os números de conta do formulario 1040/formulario 8888 ás contas de punto verde/chime/mula prepago do atacante). 2. Ponte en contacto co seu enlace local de partes interesadas do IRS inmediatamente: Atopa o enlace de partes interesadas do teu estado en irs.gov/businesses/small-businesses-self-employed/stakeholder-liaison-local-contacts. O Enlace con Partes Interesadas coordinarase coa Investigación Criminal do IRS (IRS-CI) e emita unha substitución EFIN se o teu estaba comprometido. 3. ** Cumprir a regra de garantías da FTC (16 CFR Part 314) Mandato de notificación de incumprimento de 30 días**: Todos os preparadores de impostos profesionais dos Estados Unidos están legalmente clasificados como "institucións financeiras non bancarias" segundo a Lei Gramm-Leach-Bliley (GLBA) e a Regra de garantías da FTC. Segundo a Regra de salvagardas da FTC modificada (a partir de maio de 2024), calquera infracción que implique a información persoal non pública non cifrada de 500 ou máis consumidores debe informarse electrónicamente á Comisión Federal de Comercio (Federal Trade Commission).FTC) dentro de 30 días desde o descubrimento.

Paso 4: presenta un informe IC3 do FBI e avisos de infracción do fiscal xeral do Estado¶

1. Envía un informe de compromiso de correo electrónico empresarial W-2 en ic3.gov (FBI Internet Crime Complaint Center): Inclúe o completo RFC 5322 cabeceiras orixinais de correo electrónico (Authentication-Results, Received: from enderezos IP, Reply-To: dominio) do correo electrónico de phishing que enganou ao seu empregado de nómina.
2. Verifique se a conta de correo electrónico do seu empregado foi realmente pirateada ou falsificada externamente:
3. Inspeccione os rexistros de auditoría de Microsoft Entra ID/Google Workspace: fixo un dominio externo (ceo-companyname.com ou a gmail.com enderezo de resposta) simplemente falsificar o nome de visualización do CEO, ou un atacante realmente iniciou sesión na caixa de correo real do CEO ou do empregado de RRHH? Se un atacante accedeu directamente á caixa de correo de RRHH/Nómina, cada W-2 histórico, cheque anulado de depósito directo e escaneo de pasaporte I-9 Sent Items e Inbox tamén está comprometida. Segue conta de correo electrónico pirateada, regras de reenvío e recuperación.
4. Envíe unha alerta urxente de "Aviso do día 1" a todos os empregados afectados inmediatamente: Aínda que a túa carta formal de incumprimento da lexislación estatal (incluíndo de 12 a 24 meses de vixilancia de identidade pagada, como IDX, Experian IdentityWorks, Norton LifeLock, ou Kroll) tarda entre 3 e 5 días en aprovisionarse, envíe unha alerta interna aos seus empregados o día 1 para que lles indique que obteñan un PIN de protección de identidade do IRS (irs.gov/ippin) e conxelan as súas axencias de crédito hoxe antes de que o ficheiro dos criminais apareza aos seus nomes.

Fase 2: Guía de protección completa para empregados e contribuíntes afectados¶

Se acabas de recibir un correo electrónico ou unha carta na que se indica que se incumpriron os ficheiros W-2 do teu empregador ou o servidor de impostos do teu CPA, non te limites a rexistrarte para obter o código gratuíto de seguimento de crédito dun ano e relaxaos. A supervisión de crédito só che envía unha alerta despois de que se abre un préstamo e a supervisión de crédito non ten visibilidade sobre as declaracións fiscais do IRS, as solicitudes de desemprego ou os cambios no depósito directo da nómina.

Compare o que expón unha fuga W-2 e o bloqueo exacto necesario para pechar cada vulnerabilidade:

Secuencia de bloqueo de empregados paso a paso (ten un total de 35 minutos)¶

Paso 1: bloquea a túa conta fiscal do IRS cun PIN de protección de identidade (IP PIN)¶

1. Vaia directamente ao portal oficial do IRS: https://www.irs.gov/identity-theft-fraud-scams/get-an-identity-protection-pin (irs.gov/ippin).
2. Fai clic en "Obter un PIN IP" e inicia sesión co teu existente ID.me / Conta do IRS (ou verifica a túa identidade para crear unha).
3. Consello: Ao crear o teu IRS.gov / ID.me agora mesmo, tamén evitas que os criminais creen unha falsificación ID.me conta baixo o teu SSN para descargar as túas transcricións fiscais antigas.
4. Unha vez verificado, a pantalla mostrará inmediatamente o teu 6 díxitos IP PIN. Garda este número no teu xestor de contrasinais.
5. Como IP PIN funciona: cando vostede (ou o seu CPA) presente a súa declaración de impostos federal real este ano, introduce este número de 6 díxitos no Identity Protection PIN caixa xunto á túa sinatura no Formulario 1040. Se algún criminal intenta presentar unha declaración de impostos mediante o teu SSN sen ese código exacto de 6 díxitos, o servidor de ficheiros electrónicos do IRS rexeita a súa presentación en 1 milisegundo. (Nota: cada xaneiro, o IRS xera un novo número de 6 díxitos IP PIN dentro da súa conta en liña para a nova tempada de presentación.)
6. Se estás casado e presentas Married Filing Jointly: Fai que o teu cónxuxe tamén obteña un IP PIN para o seu SSN, aínda que só se incumprise o seu empregador, porque unha declaración de impostos conxunta enumera os dous SSN.

Paso 2: arquiva o formulario IRS 14039 (Identity Theft Affidavit) SÓ se é necesario¶

Non envíe un formulario en papel 14039 se conseguiu un IP PIN en liña e aínda non se presentou ningunha declaración fraudulenta - o IRS aconsella explícitamente que a obtención dunha IP PIN en liña é máis rápido e evita atrasos no procesamento do papel. Non obstante, DEBE presentar o formulario IRS 14039 (Identity Theft Affidavit) inmediatamente se: - A túa declaración de impostos presentada por correo electrónico foi rexeitada porque alguén xa presentou unha declaración usando o teu SSN (IND-031-04 / R0000-902-01), OU - Non podes verificar a túa identidade en liña en irs.gov/ippin, OU - Recibiches un aviso do IRS (CP01E, 5071C, 4883C, 5747C, ou CP2000) facendo referencia a unha declaración de impostos que non presentou ou salarios dun empresario para o que nunca traballou. - Como enviar o formulario 14039: podes envialo en liña a través da ferramenta de carga de documentos do IRS en irs.gov/dmaf (se se presenta antes dun rexeitamento duplicado) ou adxunta o documento asinado Formulario 14039 directamente detrás do teu documento asinado Formulario 1040 e envíeo por correo ao centro do IRS do teu estado.

Paso 3: Coloca bloqueos de seguridade permanentes gratuítos nas 7 oficinas (primaria + secundaria)¶

Segundo a lei federal (Economic Growth, Regulatory Relief, and Consumer Protection Act), conxelar e desconxelar o teu crédito é 100 % gratuíto en todas as oficinas. Non permitas que as oficinas che vendan nun produto "Credit Lock" de pago de 19,99 $/mes; seleccione sempre a "Conxelación de seguridade":

1. Equifax: equifax.com/personal/credit-report-services/credit-freeze/ ou chamar 1-888-298-0045.
2. Experiencia: experian.com/freeze/center.html ou chamar 1-888-397-3742.
3. TransUnion: transunion.com/credit-freeze ou chamar 1-800-916-8800.
4. Innovis (The 4^th Consumer Credit Bureau): innovis.com/personal/securityFreeze ou chamar 1-866-712-4546.
5. ChexSystems (impide que os estafadores abran contas correntes/aforros fraudulentas ao teu nome): chexsystems.com/security-freeze/place-freeze ou chamar 1-800-428-9623.
6. Solucións de risco de LexisNexis (utilizadas polas aseguradoras de automóbiles, os prestamistas hipotecarios e os portais gobernamentais): consumer.risk.lexisnexis.com/freeze ou chamar 1-800-456-1244.
7. Equifax The Work Number (Utilizado para verificación de emprego/salario e préstamos do día de pagamento): Chamar 1-800-367-2884 ou visita employees.theworknumber.com e solicita un Employee Data Freeze no teu SSN.

Paso 4: reclama o teu my Social Security (ssa.gov) e Portal de nóminas dos empregados (ADP / Workday / Gusto)¶

1. Visita https://www.ssa.gov/myaccount/ e asegúrate de que a túa conta da Seguridade Social estea rexistrada no teu propio correo electrónico e no Authenticator/Login.gov 2FA. Unha vez que o teu ssa.gov a conta é reclamada por ti, ningún criminal pode rexistrar unha conta da Seguridade Social en liña no teu SSN ou desviar beneficios futuros.
2. Inicie sesión no portal de nóminas de autoservizo do seu empregador (ADP, Workday, Paychex, Gusto, Rippling, Paylocity, UKG). Dado que un W-2 contén as cifras exactas en dólares que solicitan algúns servizos de axuda de nóminas legados ao restablecer un contrasinal ("¿Cal foi o seu salario bruto da caixa 1 YTD no seu W-2 de 2025?"), habilite Aplicación Authenticator ou Passkey 2FA no inicio de sesión da súa nómina e verifique que non se modificou o número de conta/enrutamento bancario para Direct.

Fase 3: que facer se recibe un paro estatal falso (1099-G) ou aviso de saldo debido ao IRS meses máis tarde¶

Dado que as bases de datos W-2 se revenden nos mercados da web escura durante anos despois da fuga inicial de phishing, estea atento a estes dous ataques atrasados:

1. Solicitude de desemprego estatal fraudulenta (recibe unha tarxeta de débito, un correo electrónico con PIN ou un formulario 1099-G por correo, ou o seu departamento de recursos humanos recibe unha "Solicitude de información de separación" mentres aínda traballa alí)¶

• Paso 1: notifique inmediatamente ao seu departamento de recursos humanos e á súa Axencia Estatal de Traballo (SWA) Liña directa de fraude (dol.gov/general/topic/unemployment-insurance enumera todos os portales estatais de fraude).
• Paso 2: NON denunciar fraude 1099-G ingresos por desemprego na súa declaración de impostos federal. Baixo a orientación do IRS (IR-2021-24), aínda que a axencia estatal aínda non che enviou unha corrección $0 Formulario 1099-G antes do 15 de abril, informe só os ingresos reais que realmente recibiu no formulario 1040; informar o pago falso do desemprego do estafador na túa declaración gravarache erróneamente sobre o diñeiro que nunca tocaches.

2. Roubo de identidade relacionado co emprego (alguén usa o teu SSN roubado nun I-9 / W-4 para traballar noutro traballo e o IRS envíache un CP2000 aviso que indica que non declarou os salarios dunha empresa descoñecida)¶

• Responde ao CP2000 aviso marcando a caixa que indica que nunca traballou para ese empregador, anexa o Formulario IRS 14039 (marcando a caixa 2: "Alguén utilizou a miña información para obter ingresos") e revise o seu historial de ganancias anuais dentro ssa.gov/myaccount cada primavera para asegurarse de que os salarios de ningún estraño se publiquen no seu rexistro da Seguridade Social.

Fase 4: Lista de verificación de prevención organizativa - Deter o phishing W-2 e os incumprimentos de CPA¶

• Establece unha regra corporativa "Zero Email W-2" férrea: Fai unha política corporativa escrita, asinada polo CEO, CFO e todos os empregados de RRHH/Nóminas, de que Ningún ficheiro W-2, 1099 ou censo de nóminas de empregado pode enviarse NUNCA por correo electrónico adxunto a ninguén, incluído o CEO ou o Consello de Administración, sen unha verificación presencial ou en directo de varias persoas por vídeo e unha transferencia cifrada do portal.
• Configurar a prevención de perda de datos de saída (DLP) Regras en Microsoft Purview (M365) ou Google Workspace: Cree unha regra de transporte DLP de saída automatizada que bloquee calquera correo electrónico de saída externo que conteña máis de 3 números de seguro social dos EUA (SSN) patróns regex (\b\d{3}-\d{2}-\d{4}\b) ou Form W-2 modelos. Cando un empregado de RRHH tenta anexar un PDF W-2 de 50 páxinas a un enderezo de correo electrónico externo, o servidor de correo bloquea a transmisión automaticamente antes de que un só byte abandone o edificio.
• Engadir un banner de aviso de remitente externo ([EXTERNAL EMAIL - SPOOF WARNING]) Marcando especificamente os nomes de visualización do executivo: Configurar unha regra contra a suplantación de Exchange Online/Google Workspace (VIP / Executive Spoof Protection) que pon en corentena ou pon unha pancarta de advertencia vermella brillante en calquera correo electrónico entrante de fóra da organización cuxo From: O nome para mostrar coincide co nome e apelidos exactos do seu CEO, CFO ou conselleiro xeral.
• Para empresas de CPA: servidores de software illado de impostos (Drake, Lacerte, ProSeries) Detrás Resistente ao Phishing FIDO2 MFA e Escrito WISP Controis: Toda práctica fiscal dos Estados Unidos está obrigada pola Publicación 4557 do IRS (e a anual PTIN renovación) para manter un Plan escrito de seguridade da información (WISP), aplicar a autenticación multifactor (MFA) en todos os inicios de sesión de software de impostos locais e na nube e prohíba o protocolo de escritorio remoto non autenticado (RDP porto 3389) exposición.

Números de emerxencia rexionais e protocolos da axencia¶

Se a súa organización ou a súa identidade fiscal se comprometeu nun incumprimento da nómina ou do preparador fiscal, informe ás autoridades tributarias e de protección de datos estatutarias da súa xurisdición:

• Estados Unidos: correo electrónico dos empresarios dataloss@irs.gov (Asunto: W2 Data Loss) e StateAgencies@taxadmin.org. Os contribuíntes chaman 1-800-908-4490 (IP PIN: irs.gov/ippin; Formulario en liña 14039: irs.gov/dmaf). Informar de phishing W-2 en FBI IC3 (ic3.gov) e IdentityTheft.gov (1-877-438-4338).
• ** Canadá (T4 / SIN Incumprimentos)**: chame aos Servizos de protección de identidade da CRA (1-800-959-8281) para colocar un PIN de seguranza no teu SIN, e informe de incumprimentos organizativos conforme á PIPEDA ao OPC (priv.gc.ca / 1-800-282-1376).
• ** Reino Unido (P60 / NINo Incumprimentos)**: informe a HMRC (0300 200 3300 / phishing@hmrc.gov.uk), notifique ao ICO (0303 123 1113) dentro de 72 horas segundo o GDPR do Reino Unido, informe a Action Fraud (0300 123 2040), e inscribirse en Rexistro de Protección Cifas (cifas.org.uk).
• Unión Europea: notifique á súa Autoridade de Protección de Datos (DPA) nun prazo de 72 horas segundo o artigo 33 do GDPR e notifique aos empregados afectados segundo o artigo 34.
• Australia e Nova Zelanda (TFN / IRD Incumprimentos): en Australia, chame ao Centro de soporte de identidade do cliente de ATO (1800 467 033) para bloquear o teu TFN, informe baixo o esquema OAIC NDB (oaic.gov.au) e chame a IDCARE (1800 595 160). En Nova Zelanda, chame a Inland Revenue (0800 227 774).
• India e Asia-Pacífico (Form 16 / PAN Incumprimentos): informe a CERT-In (incident@cert-in.org.in) dentro de 6 horas, chame 1930 (cybercrime.gov.in) e habilite Aadhaar Biometric Lock (myaadhaar.uidai.gov.in).

Preguntas frecuentes¶

A conxelación do meu crédito en Equifax, Experian e TransUnion impide que un criminal presente unha declaración de impostos do IRS falsa co meu W-2 filtrado?¶

Non, en absoluto. A conxelación do crédito en Equifax, Experian e TransUnion só impide que os bancos e os prestamistas retiren o seu informe de crédito ao consumidor para abrir novas tarxetas de crédito, préstamos para automóbiles ou hipotecas. Servizo de Impostos Internos (IRS) e Departamentos de Ingresos do Estado nunca tire o seu informe de crédito ao consumidor cando presenta unha declaración de impostos. O só bloqueo que impide que un criminal presente unha declaración de impostos fraudulenta do Formulario 1040 co teu W-2 filtrado é un PIN de protección de identidade do IRS (PIN IP) obtido directamente en irs.gov/ippin.

Canto tempo se atrasará o meu reembolso real de impostos se un estafador xa presentou unha declaración falsa co meu SSN antes de que eu obteña un PIN de IP?¶

Se a súa declaración electrónica foi rexeitada como duplicado (`IND-031-04`) e tivo que enviar un formulario 1040 en papel co formulario 14039 (`Identity Theft Affidavit`), o IRS Identity Theft Victim Assistance (`IDTVA`) debe investigar manualmente as dúas declaracións en competencia, eliminar a declaración fraudulenta do criminal da súa transcrición principal de impostos e procesar a súa declaración en papel. Dependendo dos atrasos actuais do inventario IDTVA do IRS, a resolución dunha declaración de impostos duplicada por roubo de identidade normalmente leva entre 120 días e máis de 360 días (aínda que o IRS paga intereses legais sobre os reembolsos lexítimos atrasados pasados 45 días despois do 15 de abril e, unha vez resoltos, o IRS envíache automaticamente un novo correo de 6 díxitos. PIN IP cada xaneiro de por vida).

O meu empregador ofreceu 12 ou 24 meses de vixilancia gratuíta de Experian IdentityWorks / LifeLock / IDX despois da filtración do W-2. Se o acepto, renuncio ao meu dereito a participar nunha demanda?¶

En case todas as cartas de notificación de violación de datos estatutarias estándar dos Estados Unidos, inscribirse no código de seguimento de identidade gratuíto de 12 a 24 meses proporcionado polo seu empregador ou empresa de CPA non renuncia aos seus dereitos legais contra a empresa vulnerada - Os avogados xerais estatais desaconsellan ou prohiben encarecidamente vincular a corrección obrigatoria de incumprimentos legais ás exencións de responsabilidade. Non obstante, lea atentamente a letra pequena da páxina web de inscrición: ocasionalmente, o provedor de seguimento de terceiros propio As Condicións de servizo inclúen unha cláusula de arbitraxe que regula as disputas co seguimento do propio provedor, que é independente do seu empregador.

E se non podo pasar a liña ID.me verificación en irs.gov/ippin para obter o meu PIN de protección de identidade do IRS?¶

Se a ferramenta en liña en irs.gov/ippin non pode verificar a súa identidade (ou se prefire non usar o recoñecemento facial activado ID.me, onde tamén podes solicitar un axente de chat de vídeo en directo en lugar da correspondencia automática de selfies), tes dúas alternativas oficiais: (1) Se o teu ingreso bruto axustado (`AGI`) está por debaixo do limiar (84 000 USD para persoas físicas ou 168 000 USD para os casados que se presentan conxuntamente), podes presentar Formulario IRS 15227 (`Application for an Identity Protection Personal Identification Number`) e un asistente do IRS chamarache para verificar a túa identidade por teléfono; ou (2) independentemente dos ingresos, podes programar unha cita presencial no teu máis próximo Centro de Asistencia al Contribuyente del IRS (`TAC`) chamando 1-844-545-5640 e traer dúas formas de identificación gobernamental.

¿Pode un delincuente usar o meu W-2 para cambiar a miña conta bancaria rexistrada no IRS ou roubarme o título da miña casa?¶

Unha vez que obteña un IRS PIN IP e reclama a túa conta en liña en irs.gov, un criminal non pode iniciar sesión no seu perfil do IRS nin enviar unha nova declaración para cambiar a súa conta bancaria de depósito directo de reembolso. En canto á fraude do título da vivenda ou da hipoteca, mentres que un W-2 proporciona o teu SSN e o teu enderezo da casa, os rexistradores de propiedade do condado requiren sinaturas de escrituras notariadas; podes rexistrarte no teu secretario/a gravadora comarcal Servizo gratuíto de notificación por correo electrónico de alerta de fraude de propiedade (ofrecido gratuíto pola maioría dos gravadores dos condados de EE. UU. e a Alerta de Propiedade HM Land Registry no Reino Unido) para que reciba un correo electrónico o día en que se rexistre calquera documento na súa parcela.

Se a nosa empresa reedita novos W-2 "correxidos" (Form W-2c) aos empregados despois dunha filtración de phishing W-2?¶

Non. Formulario IRS W-2c (`Corrected Wage and Tax Statement`) só se usa cando as cantidades en dólares, o nome ou o SSN impresos no W-2 orixinal eran matemática ou clerical incorrectos. Non pode cambiar o número de seguridade social dun empregado nin o da súa empresa `EIN` vía a `W-2c`. Os empregados aínda deben usar o seu W-2 orixinal e preciso para presentar os seus impostos, mentres a notificación inmediata da súa empresa a dataloss@irs.gov e a inscrición dos traballadores irs.gov/ippin protexer o proceso de presentación.

Guías relacionadas¶

• Compromiso de correo electrónico empresarial corporativo (BEC) e retirada de fraude telemático
• Resposta ao roubo de identidade
• Roubo de identidade sintético e conxelación do crédito do SSN infantil
• Conta de correo electrónico pirateada, regras de reenvío e recuperación
• Resposta á violación de datos e fugas de contrasinais
• Estafa de ofertas de traballo falsas, fraude de cheques de equipos e roubo de identidade de incorporación
• Números de emerxencia por país

Fontes e orientacións oficiais¶

• Servizo de Impostos Internos (IRS) & Security Summit (Estados Unidos): Formulario W-2 / SSN Data Loss Incident Response Protocol (dataloss@irs.gov), Publicación 4557 (Safeguarding Taxpayer Data: A Guide for Your Business) e Publicación 5293 (Data Security Resource Guide for Tax Professionals).
• Servizo de Impostos Internos (IRS) Servizo de defensa do contribuínte: PIN de protección de identidade (IP PIN) Procedementos de matrícula e modelo 14039 (Identity Theft Affidavit) Instrucións.
• Comisión Federal de Comercio (FTC) (Estados Unidos): Normas para salvagardar a información do cliente (FTC Safeguards Rule, 16 CFR Parte 314) e IdentityTheft.gov Pasos de recuperación do roubo de identidade fiscal.
• Federación de Administradores Tributarios (FTA): Protocolo de coordinación de violación de datos W-2 do Departamento de Ingresos do Estado (StateAgencies@taxadmin.org).
• Oficina Federal de Investigación (FBI IC3): Anuncios de servizo público sobre a nómina W-2 Compromiso de correo electrónico empresarial (BEC) Spear-Phishing e Desvío de Depósito Directo.