CRA、ハッカーに数百万ドルの不正還付金を支払う

元記事はこちらから/Click here to read the original article.

オンライン・ハッカーが、税務申告書作成会社H&Rブロックを通じて数百人のカナダ人の個人財務データにアクセスし、カナダ歳入庁から数百万ドルを騙し取ることに成功した。

CBCの『フィフス・エステート』とラジオ・カナダが行った調査によると、偽者が同社のデータベースに侵入し、顧客の口座振込情報を変更し、虚偽の申告書を提出することで、600万ドル以上の不正還付金を持ち去っていたことが判明した。

あるケースでは、ハッカーがトマト・ストリートという偽の住所を使い、正当な郵便番号を使って払い戻しを受けたこともあった。

CRAは情報漏えいの報告を受けていたにもかかわらず、この詐欺を一般に知らせなかった。

「2020年3月から2023年12月までの間、これらの情報漏えいの報告が遅れたのは、この種の個人情報漏えいの報告プロセスを設立する必要があったためであり、口座の保護と影響を受ける納税者への助言を優先したためです」と、CRAの広報担当者シルビー・ブランチ氏はトゥルーノースに語った。

「また、情報漏洩を確認するために納税者に連絡することが困難であったなど、CRAの手に負えない外部要因に起因することもあります。」

H&Rブロックは、調査に対して声明を発表し、「包括的な内部調査 」の結果、セキュリティ侵害に責任があったという証拠はないと主張した。

同社は、同社の「データ、システム、ソフトウェア、セキュリティ」のいずれもが侵害されておらず、同社の知る限り、影響を受けた納税者はH&Rブロックの顧客ではなかったと述べた。

CRAはまだハッカーを特定できていないが、The Fifth Estateの取材に匿名で応じた情報筋によると、情報漏洩がCRAのデータベースシステム内部から起こった可能性は排除しており、内部関係者の関与によるものでもないという。

個人情報保護委員会の報告書によれば、2024年3月31日に終了する会計年度において、CRAでは71件のセキュリティ侵害があった。

しかし、それ以前の3年間では42件しかなく、サイバーハッカーによる脅威が飛躍的に増大していることが明らかになった。

CRAはフィフス・エステート紙とのインタビューで、2020年3月から2023年12月までに31,468件以上の「重大な」プライバシー侵害に対処し、62,000人のカナダ人に影響を与えたことを認めた。

「私たちは、外部からの不正行為や第三者による納税者情報の不正使用（UUTP）を積極的に検知、報告、対処するために戦略的な投資を行ってきました。」「このようなUUTPによる不正使用は、多くの場合、外部から入手した個人情報が、既存のセキュリティ対策を回避して納税者情報にアクセスしたり、変更したりするために使用されています。」

フィリップ・デュフレスン個人情報保護委員会委員長は、CRAが2024年3月の報告書ですでに報告していたため、2024年6月の国会議員への報告書から個人情報漏洩の大幅な増加を省くことにしたとCBCニュースに電子メールで語った。

彼は、新しい数字は来年の報告書に含まれると付け加えた。

CRAはまた、31,468件のプライバシー侵害は過去にさかのぼって報告されたと述べた。
CRAは、個人情報漏えいが発生した場合、納税者個人に通知し、「必要な信用保護」を提供すると述べたが、個人情報漏えいが国会に過少報告されていることをいつ、どのようにして初めて知ったのかについては答えなかった。
CRAによると、2020年以降、プライバシー侵害の「確認された」ケースに関連して、1億9000万ドル以上の不正支払いを誤って承認しており、その大部分はCOVID-19の大流行中の2020年に発生していた。
ハッカーはCRAから提供されたH&Rブロックの電子申告認証情報を介して情報を入手し、納税者に代わって不正な申告書を受け取るために改ざんしたとされている。
CRAは最終的に、監査官が今年600万ドル以上を騙し取られたと結論付ける前に、同じ銀行口座に無関係な複数の還付金を発行していたことを知った。
これを知ったCRAは、ハッカーに払い戻される前に、さらに1400万ドルの不正申告を防ぐことができた。
「CBCが提起した特定のケースでは、脅威行為者は合計2150万ドルを得ようとしました」とブランチ氏は述べた。さらに、CRAは1億5700万ドルを「阻止」し、1490万ドルを「阻止」したことを「確認できる」と付け加えた。