Agencia Nacional de Ingresos de Bulgaria

En este registro, las direcciones de correo electrónico, los nombres, los números de teléfono, las direcciones físicas y los registros fiscales son categorías de datos verificadas. La información de correo electrónico y teléfono puede utilizarse para contactar directamente con las personas. Los nombres y las direcciones físicas pueden hacer que los mensajes de phishing o fraude parezcan más personalizados. Los registros fiscales pueden aportar información contextual sensible sobre los ingresos, las deudas o la seguridad social de una persona, así como sobre aspectos de su relación con la administración pública.

La contraseña no es un campo de datos verificado en este registro; la evaluación del riesgo no debe basarse en el descifrado de contraseñas, sino en el phishing, la suplantación de instituciones públicas, el fraude relacionado con deudas tributarias, las notificaciones falsas y el uso indebido de la verificación de identidad. Un atacante puede preparar mensajes que aparenten proceder de una autoridad tributaria o estar relacionados con una notificación de pago, un proceso de devolución o una solicitud de servicios públicos. La presencia de nombres, direcciones o información fiscal reales en estos mensajes puede hacer que parezcan creíbles.

El alcance de este registro es de 471 167 direcciones de correo electrónico únicas. Las categorías de datos verificadas son direcciones de correo electrónico, nombres, números de teléfono, direcciones físicas y registros fiscales. Aunque el incidente en su conjunto puede considerarse parte de una filtración nacional de datos más amplia, esta página utiliza como cifra principal el número de registros verificados que pueden vincularse a direcciones de correo electrónico. Esta distinción es importante para evitar que los usuarios tengan la impresión errónea de que esas 471 167 personas representan la totalidad de los afectados por el incidente.

Se ha informado de la existencia de registros administrativos pertenecientes a ciudadanos y empresas en el conjunto de datos más amplio; sin embargo, los campos que se muestran al usuario en esta página se limitan a las principales categorías de datos verificadas. Las tarjetas de pago, las contraseñas de cuentas, los mensajes privados y los registros de salud no figuran entre las principales categorías de datos verificadas para este registro. Las medidas del usuario deben planificarse en función de los riesgos fiscales y de robo de identidad.

Los ciudadanos registrados a efectos fiscales en Bulgaria, los extranjeros con ingresos o vínculos con la administración pública del país y los representantes de empresas pueden estar entre los grupos de mayor riesgo. Las personas cuyas direcciones de correo electrónico están incluidas en este conjunto de datos pueden recibir mensajes que suplanten a instituciones públicas. Los usuarios cuyos datos incluyen números de teléfono y direcciones físicas pueden sufrir intentos de estafa no solo por correo electrónico, sino también mediante llamadas, SMS y correo postal.

Los registros fiscales pueden contener indicios sensibles sobre la situación financiera de una persona o sus obligaciones con la administración pública. Por ello, el riesgo no se limita a la toma de control de cuentas. También son posibles el robo de identidad, las notificaciones falsas de deudas, las solicitudes de pagos a la administración pública, las promesas de devoluciones de impuestos o los intentos dirigidos de ingeniería social contra representantes de empresas. Los registros que coincidan con direcciones de correo electrónico corporativas también deben examinarse desde la perspectiva de la seguridad en el entorno laboral y de los procesos del departamento financiero.

Los usuarios que reciban notificaciones de coincidencia deben verificar directamente, a través de un canal fiable, cualquier mensaje que aparente proceder de la autoridad tributaria o de la administración pública. En lugar de iniciar sesión mediante los enlaces recibidos, deben escribir manualmente la dirección de la institución o utilizar sus canales oficiales de comunicación. Deben extremar la precaución si los mensajes sobre deudas tributarias, devoluciones, sanciones, actualizaciones de registros o solicitudes de servicios públicos contienen peticiones de pago o de documentos.

Los usuarios deben proteger sus cuentas de correo electrónico con contraseñas robustas y activar la autenticación de dos factores si es posible. Aunque esta brecha no incluya contraseñas, el compromiso de una cuenta de correo electrónico puede tener un impacto mayor en los servicios públicos y las notificaciones fiscales. No deben compartirse datos personales durante llamadas telefónicas, y las solicitudes de personas que afirmen llamar en nombre de instituciones oficiales deben verificarse a través de un canal independiente. Los representantes de empresas deben ser informados del riesgo de instrucciones fraudulentas en los procesos financieros y contables.

El incidente de la Agencia Nacional de Ingresos de Bulgaria muestra que los datos que las instituciones gubernamentales recopilan de forma obligatoria son muy sensibles. Las personas deben proteger rigurosamente las direcciones de correo electrónico utilizadas en los servicios públicos, verificar de forma habitual los mensajes recibidos de instituciones públicas y prestar atención a la seguridad del canal al compartir documentos que contengan datos personales. Las notificaciones fiscales, de seguridad social y de pagos a la administración pública deben comprobarse siempre a través de canales oficiales.

Para las instituciones, este incidente recuerda que la protección de los registros fiscales y administrativos debe ir acompañada de controles de acceso, seguridad de la red, segregación de datos, plazos de conservación de registros y procesos de notificación de incidentes. Por parte de los usuarios, el conocimiento de los riesgos del phishing, la seguridad del correo electrónico, la autenticación de dos factores y el hábito de revisar periódicamente las notificaciones financieras y de la administración pública ofrecen protección a largo plazo. Las filtraciones de datos de instituciones públicas pueden utilizarse para la ingeniería social incluso años después.

Una coincidencia con la dirección de correo electrónico en este registro indica que el usuario figura en uno de los registros del conjunto de datos de la Agencia Nacional de Ingresos de Bulgaria que pueden vincularse mediante el correo electrónico. El usuario debe determinar primero si ha utilizado esa dirección de correo electrónico en trámites con la administración pública, fiscales o empresariales. Después, debe aplicar un proceso de verificación más cuidadoso a los mensajes relacionados con las autoridades tributarias, la contabilidad, las finanzas y los servicios públicos.

Una coincidencia no indica que se hayan expuesto la contraseña del usuario o los datos de su tarjeta de pago; sin embargo, la presencia conjunta de correo electrónico, nombre, teléfono, dirección física y registros fiscales constituye una alerta importante sobre datos sensibles. Los usuarios que verifican los mensajes de instituciones oficiales directamente a través de un canal de confianza, protegen su cuenta de correo electrónico con autenticación de dos factores, cuestionan las solicitudes de pago inesperadas y utilizan un segundo mecanismo de aprobación en los procesos empresariales reducen los riesgos de fraude y phishing que pueden derivarse de esta brecha.