Vazamento de dados de Bulgarian National Revenue Agency

Neste registro, endereços de e-mail, nomes, números de telefone, endereços físicos e registros fiscais são categorias de dados verificadas. Informações de e-mail e telefone podem ser usadas para contato direto. Nomes e endereços físicos podem fazer com que mensagens de phishing ou fraude pareçam mais pessoais. Registros fiscais podem conter informações sensíveis sobre a renda, as dívidas e a seguridade social de uma pessoa, além de detalhes relacionados à administração pública.

Senhas não são um campo de dados verificado neste registro; a avaliação de risco deve se basear não na quebra de senhas, mas em phishing, falsificação da identidade de instituições públicas, fraudes envolvendo dívidas tributárias, notificações falsas e uso indevido da verificação de identidade. Um invasor pode preparar mensagens que aparentem vir de uma autoridade tributária ou estar relacionadas a uma notificação de pagamento, um processo de restituição ou uma solicitação de serviço público. A presença de nomes, endereços ou informações fiscais reais nessas mensagens pode dar a elas uma aparência de credibilidade.

O escopo deste registro é de 471.167 endereços de e-mail únicos. As categorias de dados verificadas são endereços de e-mail, nomes, números de telefone, endereços físicos e registros fiscais. Embora o incidente como um todo possa ser considerado parte de um vazamento mais amplo de dados em escala nacional, esta página usa como número principal a quantidade de registros verificados que podem ser associados a e-mails. Essa distinção é importante para evitar que os usuários tenham a falsa impressão de que as 471.167 pessoas representam o impacto total do incidente.

Há relatos de que o conjunto mais amplo de dados contém registros administrativos de cidadãos e empresas; no entanto, os campos apresentados ao usuário nesta página se limitam às principais categorias de dados verificadas. Dados de cartões de pagamento, senhas de contas, mensagens privadas e registros de saúde não estão entre as principais categorias verificadas neste registro. As medidas a serem tomadas pelo usuário devem ser planejadas com base nos riscos de fraudes tributárias e roubo de identidade.

Cidadãos cadastrados para fins tributários na Bulgária, estrangeiros com renda ou vínculos com a administração pública no país e representantes de empresas podem estar no grupo de maior risco. Pessoas cujos endereços de e-mail estão incluídos neste conjunto de dados podem ser alvo de mensagens que se passam por comunicações de instituições públicas. Usuários cujos números de telefone e endereços físicos constam nos dados podem sofrer tentativas de golpe não apenas por e-mail, mas também por ligações, SMS e correspondência postal.

Registros fiscais podem conter indícios sensíveis sobre a situação financeira de uma pessoa ou suas obrigações perante o poder público. Portanto, o risco não se limita à tomada de controle de contas. Também são possíveis roubo de identidade, notificações falsas de dívidas, solicitações de pagamentos a órgãos públicos, promessas de restituição de impostos ou tentativas direcionadas de engenharia social contra representantes de empresas. Registros associados a endereços de e-mail corporativos também devem ser analisados sob a perspectiva da segurança no ambiente de trabalho e dos processos do departamento financeiro.

Usuários que receberem notificações de correspondência com este registro devem verificar diretamente, por um canal confiável, qualquer mensagem que pareça vir da autoridade tributária ou da administração pública. Em vez de acessar a conta por links recebidos, devem digitar manualmente o endereço da instituição ou usar canais oficiais de comunicação. É necessário redobrar o cuidado quando mensagens sobre dívidas tributárias, restituições, multas, atualizações cadastrais ou solicitações de serviços públicos pedirem pagamentos ou documentos.

Os usuários devem proteger suas contas de e-mail com senhas fortes e, se possível, ativar a autenticação de dois fatores. Mesmo que este vazamento não envolva senhas, o comprometimento de uma conta de e-mail pode ter um impacto maior sobre o acesso a serviços públicos e o recebimento de notificações fiscais. Dados pessoais não devem ser compartilhados por telefone, e solicitações de pessoas que afirmam ligar em nome de instituições oficiais devem ser verificadas por um canal independente. Representantes de empresas devem ser informados sobre o risco de instruções fraudulentas nos processos financeiros e contábeis.

O incidente da Bulgarian National Revenue Agency mostra que os dados exigidos e mantidos por instituições governamentais são altamente sensíveis. As pessoas devem proteger com rigor os endereços de e-mail usados em serviços públicos, criar o hábito de verificar mensagens recebidas de instituições públicas e prestar atenção à segurança dos canais ao compartilhar documentos que contenham dados pessoais. Notificações tributárias, de seguridade social e de pagamentos ao poder público devem sempre ser conferidas por canais oficiais.

Para as instituições, este incidente reforça a necessidade de proteger registros fiscais e administrativos com medidas que abrangem controle de acesso, segurança de rede, segregação de dados, prazos de retenção de registros e processos de comunicação de incidentes. Para os usuários, a conscientização sobre phishing, a segurança do e-mail, a autenticação de dois fatores e o hábito de conferir regularmente notificações financeiras e de órgãos públicos oferecem proteção a longo prazo. Vazamentos de dados de órgãos públicos podem ser usados em ações de engenharia social mesmo anos depois.

Uma correspondência com o endereço de e-mail neste registro indica que o usuário consta em um dos registros do conjunto de dados da Bulgarian National Revenue Agency que podem ser associados por e-mail. O usuário deve primeiro identificar se esse endereço de e-mail foi usado em transações com órgãos públicos, operações fiscais ou atividades corporativas. Em seguida, deve adotar um processo de verificação mais cuidadoso para mensagens relacionadas a autoridades tributárias, contabilidade, finanças e serviços públicos.

Uma correspondência não indica que a senha ou os dados do cartão de pagamento do usuário tenham sido expostos; no entanto, a presença conjunta de e-mail, nome, telefone, endereço físico e registros fiscais é um forte alerta sobre dados sensíveis. Verificar mensagens de instituições oficiais diretamente por um canal confiável, proteger a conta de e-mail com autenticação de dois fatores, questionar solicitações inesperadas de pagamento e adotar uma segunda aprovação nos processos da empresa são medidas que reduzem os riscos de fraude e phishing decorrentes deste vazamento.