Kanadyjski urząd skarbowy profilaktycznie zablokował wiele rachunków podatkowych

Kanadyjski urząd skarbowy zablokował w tym tygodniu dostęp do rachunków rozliczeń podatkowych ponad 100 tys. osób. Blokada jest profilaktyczna, nie doszło do cybertataku – twierdzi fiskus. Podobna blokada miała miejsce pół roku temu.

Kanadyjczycy mogą składać rozliczenia podatkowe w formie elektronicznej i ubiegać się o świadczenia, także zasiłki podczas pandemii Covid-19, za pośrednictwem m.in. strony internetowej Canada Revenue Agency (CRA), kanadyjskiego urzędu skarbowego i swojego indywidualnego rachunku, czyli tzw. My Account.

We wtorek portal Dailyhive poinformował, że dziesiątki osób, które próbują się zalogować do swojego rachunku w CRA uzyskują tylko informację o błędzie „021”. We wtorek i środę rosła liczba osób, które donosiły w mediach społecznościowych o trwającym problemie i o kłopotach z uzyskaniem informacji telefonicznie. W środę po południu CRA poinformowała media, że przyczyną problemów nie był atak hakerski, a dostęp do rachunków zablokowano profilaktycznie.

„Wewnętrzna analiza” wykazała, że niektóre loginy używane przez podatników mogły być przez nich wykorzystywane także do logowania się na inne strony internetowe – informowała CRA w komunikacie cytowanym w mediach. Poufność danych, jak twierdzi CRA, mogła zostać naruszona podczas innych ataków hakerskich, na inne strony internetowe.

Komunikat CRA nie wyjaśniał skąd kanadyjski urząd skarbowy wie, że dany podatnik używał tego samego loginu czy hasła w innych miejscach. Jednak np. jedną z trzech metod korzystania z dostępu do rachunku podatkowego jest zarejestrowanie się z wykorzystaniem tej samej informacji, której podatnik używa do logowania się do jednego z 17 banków i kas oszczędnościowo-kredytowych.

Wiele osób korzysta z jednego hasła i jednej nazwy użytkownika w więcej niż jednym miejscu logowania, a więc hakerzy sprawdzają czy nielegalnie zdobyte wcześniej dane mogą zostać użyte do przejęcia kontroli nad innym kontem tego samego użytkownika – to typ ataków znany jako „credential stuffing”.

Na stronie internetowej CRA widnieje informacja, że „niektórzy podatnicy mogli otrzymać powiadomienie, że z ich profilu usunięto ich adres mailowy; rachunki te nie zostały zhakowane, zostały zablokowane profilaktycznie”. W komunikacie napisano też, że urzędnicy kontaktują się z podatnikami, by odblokować dostęp do kont.

W Kanadzie trwają rozliczenia podatkowe. Dla indywidualnych podatników nieprowadzących działalności gospodarczej termin mija dopiero z końcem kwietnia, ale właśnie w tym tygodniu Kanadyjczycy korzystający z federalnych zasiłków dla osób dotkniętych pandemią mogą zwracać się o wypłatę kolejnej dwutygodniowej transzy. Jak mówili rozmówcy PAP, którzy nie mogą pracować z powodu Covid-19, a którzy korzystają z telefonicznego systemu składania wniosków o zasiłek, podatnicy są informowani, że usługa telefoniczna działa tylko „czasowo” i że należy zdecydować się na korzystanie z tzw. My Account na stronie CRA.

Obecne problemy z dostępem do rachunków ponad 100 tys. kanadyjskich podatników pojawiły się pół roku po ataku hakerskim na strony CRA i portal obsługujący obywateli; w pierwszej połowie sierpnia 2020 roku cyberatak powstrzymano. Jednak CRA zidentyfikowała trzy hakerskie ataki, podczas których przestępcy mogli uzyskać dostęp do danych ok. 5600 podatników. Również wówczas zablokowano dostęp do usług online.

Hakerzy zaatakowali w sierpniu ubiegłego roku także inny rządowy portal usług dla obywateli, GCKey, który umożliwia m.in. składanie wniosku o wypłaty zasiłków dla bezrobotnych czy świadczeń dla byłych żołnierzy. Z platformy tej korzysta ok. 30 rządowych instytucji. Z ok. 12 mln użytkowników GCKey hakerzy uzyskali dane o 9041 z nich i wykorzystali około jednej trzeciej. Treasury Board, resort zajmujący się obsługą administracji rządowej, wykrył próby włamania do systemów ponad 20 ministerstw i ustalił, że hakerzy wykorzystali hasła i nazwy użytkowników, które mogli uzyskać właśnie podczas ataków na inne portale i strony.

Według danych na stronie CRA, w 2020 roku podatnicy donosili o prawie 68,5 tys. prób wyłudzenia, a ofiarami takich przestępstw padło ponad 40,6 tys. osób; podatnicy stracili ponad 106,4 mln dolarów kanadyjskich.

Z Toronto Anna Lach (PAP)

lach/ ap/

Zgłoś naruszenie/Błąd