CRA’nın sürekli olarak milyonlarca sahte geri ödeme yapmasıyla, on binlerce vergi mükellefinin hesabı ele geçirildi
Bu yılki vergi sezonunun zirvesinde Kanada Gelir İdaresi, bilgisayar korsanlarının ülkenin en büyük vergi hazırlama şirketlerinden biri olan H&R Block Canada tarafından kullanılan gizli verileri ele geçirdiğini keşfetti.
Bir CBC araştırması, dolandırıcıların yüzlerce Kanadalının kişisel CRA hesaplarına izinsiz erişim sağlamak, doğrudan para yatırma bilgilerini değiştirmek, sahte beyanlarda bulunmak ve kamu hazinesinden 6 milyon dolardan fazla sahte geri ödeme elde etmek için gizli şirket kimlik bilgilerini kullandığını ortaya çıkardı. Beşinci özellik Ve Radyo Kanada’yı buldum.
Bir vakada, bilgisayar korsanları meşru bir posta kodu kullanarak, ancak var olmayan bir Tomato Caddesi’ndeki sahte bir adresle geri bildirimde bulundular.
Quebec City’deki Laval Üniversitesi’nde vergilendirme alanında doçent olan Andre Larue bir röportajda “Açıkçası kapı açık ve bazı insanlar sisteme gizlice giriyor” dedi. “Fakat CRA kapıyı kilitleyecek anahtarı bulamamış gibi görünüyor.”
Kaynaklara göre kriz, Telekomünikasyon Düzenleme Kurumunun Gelir Bakanı Marie-Claude Bibeau’nun ofisiyle temasa geçmesine neden oldu.
Ajans, H&R Block veri ihlali ve ajansın dolandırıcılara neden milyonlar ödediğiyle ilgili soruların olması durumunda sorulara yanıt vermek için medya hatları kurdu.
Sonuçta halk bu plan konusunda hiçbir zaman uyarılmadı.
Bebo reddetti Beşinci özellik/ Radyo-Kanada röportaj talep etti.
H&R Block yaptığı açıklamada ihlalin kendisinden kaynaklandığına dair hiçbir kanıt bulunmadığını söyledi.
Vergi şirketi, “kapsamlı bir iç soruşturmanın” hiçbir “veri, sistem, yazılım ve güvenliğin” tehlikeye atılmadığı sonucuna vardığını söyledi. H&R Block, ihlalden etkilenen Kanadalı vergi mükelleflerinin müşterilerinden herhangi biri olduğunun farkında olmadığını söyledi.
Kaynaklara göre, Telekomünikasyon Düzenleme Kurumu bilgisayar korsanlarının kimliğini tespit edemedi ancak kendi sistemlerine saldırı yapılması veya içeriden müdahale edilmesi olasılığını dışladı. Sonuçta bu verileri kimin hacklediği ve nereden geldiği hala bilinmiyor.
Hem Gelir Bakanı hem de CRA’nın Medya İlişkileri Ofisi, H&R Block veri ihlaliyle ilgili sorulara yanıt vermedi.
Beşinci özellik Radio-Canada, kamuya açık konuşma yetkisine sahip olmadıkları için kaynakları belirtmedi.
Parlamentoya bildirilen ihlallerde büyük artış
Soruşturma Beşinci özellik Radio-Canada’nın tespitine göre, denetçiler ve soruşturmacılar halkın vergi mükelleflerinin parasını ve kişisel bilgilerini korumakla görevli kuruma olan güvenini kaybedebileceğinden endişe ederken, H&R Block veri ihlali, CRA’yı zora sokan pek çok örnekten sadece bir tanesi.
Teşkilat, sözde tehdit aktörleriyle başa çıkmak için kendi içinde çabalarken, Beşinci özellik/ Kanada Radyosu’nda yapılan bir araştırma, çalınan şaşırtıcı miktarlar ve kurumun dolandırıcılığı tespit etme yeteneğindeki büyük kusurlar konusunda halkın çoğunlukla bilgisiz bırakıldığını ortaya çıkardı.
Larue, sorunun “büyüklüğünü” belirlemek ve CRA ile bakandan yanıt almak için parlamento soruşturması yapılması gerektiğini söyledi.
“Hepsi ne olduğunu tam olarak anlatmalı [and] “Ne kadar para söz konusu” dedi.
CRA’nın ayrıca vergi mükelleflerinin hesaplarındaki “önemli” ihlalleri doğrudan Parlamentoya rapor veren Gizlilik Komiseri’ne bildirme görevi de vardır.
Haziran ayında Meclis’e sunulan bir raporda, Gizlilik Komiseri, 31 Mart 2024’te sona eren mali yılda CRA’da 71 ihlal bildirdi. Son üç yılda 42 gizlilik ihlali rapor edildi.
O zamandan bu yana bu rakamlar patlama yaşadı.
Gelen sorulara verilen yanıtlarda Beşinci özellik/Radio-Canada CRA, Mart 2020’den Aralık 2023’e kadar 62.000 Kanadalı vergi mükellefini etkileyen 31.468’den fazla “maddi” gizlilik ihlali yaşandığını itiraf etti.
Meclis bilgilendirilmedi
Gizlilikten Sorumlu Komisyon Üyesi Philippe Dufresne de röportaj yapmayı reddetti.
Ofisi bir e-postada, gizlilik ihlallerindeki büyük artışın milletvekillerine sunduğu Haziran 2024 raporunun dışında tutulması kararını savundu. Komiserlik, TRA’nın bilgileri Mart 2024’teki raporlama döneminden sonra gönderdiğini ve yeni rakamların gelecek yılın yıllık raporuna dahil edileceğini söyleyerek kararı gerekçelendirdi.
Telekomünikasyon Düzenleme Kurumu ise geriye dönük olarak yalnızca 31.468 gizlilik ihlalini bildirdiğini söyledi.
Gelen sorulara yanıt olarak Beşinci özellik/Radio-Canada Kurum, “yetkisiz üçüncü tarafların” Kanada vergi hesaplarına eriştiği, doğrudan mevduat bilgilerini değiştirdiği, “sahte vergi bilgi makbuzları” ürettiği ve sahte beyannameler sunduğu “harici veri ihlallerinde ve siber tehditlerde önemli bir artış” gözlemlediğini söyledi.
CRA, bireysel vergi mükelleflerinin bir ihlal meydana geldiğinde bilgilendirildiğini, kendilerine “gerektiğinde kredi koruması” sağlandığını ve Kanadalıların vergi bilgilerinin korunmasının “çok ciddiye alındığını” söyledi.
TRA, gizlilik ihlallerinin sayısının Parlamentoya bildirilmediğini ilk kez nasıl ve ne zaman öğrendiğine yanıt vermedi ve yıllara göre bildirilen toplam sayıların dökümünü de yapmadı.
2020 yılında Hazine Kurulu, MKK’nın o yılki siber saldırılarının kontrol altına alındığını bildirdi. 2022’de, federal hükümetin gizlilik ihlalleriyle ilgili toplu davada bir yargıç, 12.700 CRA hesabındaki doğrudan para yatırma bilgilerinin dolandırıcılar tarafından değiştirildiği sonucuna vardı.
Cuma akşamı gönderilen ikinci bir açıklamada TRA, 2020 ile Ekim 2024 başı arasında “doğrulanmış” gizlilik ihlali vakalarıyla bağlantılı olarak yanlışlıkla 190 milyon dolardan fazla hayali ödemeye izin verdiğini söyledi.
Ajans, bu vakaların çoğunun 2020 yılında Kovid-19 salgını sırasında meydana geldiğini ve son yıllarda “önemli bir düşüş” yaşandığını söyledi.
Ajans, açıklamasında dolandırıcılara 2024 yılında toplam 3 milyon dolar ödediğini söyledi; bu rakam, kaynaklara göre yalnızca bu yıl H&R Block veri ihlalinde kaybedilen 6 milyon dolar ile çelişiyor gibi görünüyor.
Kaynaklara göre Telekomünikasyon Düzenleme Kurumu’nun henüz “doğrulanmış” vakalar olarak rapor edilmemiş şüpheli vakalardan oluşan bir birikimi var.
H&R Blok kimlik bilgileri ihlal edildi küçük resim
CRA’ya karşı yapılan planların tümü gizlilik ihlallerini içermiyor. Dolandırıcılar genellikle asılsız iddialarda bulunmak için kendi hesaplarını kullanır.
Kaynaklara göre, H&R Block’u ilgilendiren dava, CRA’nın birçok vergi beyannamesi sahtekarlığını tespit edememesi nedeniyle bilgisayar korsanlarının ve dolandırıcıların başarılı olduğu, aşırı zorlanmış ve yetersiz kaynaklara sahip bir kurumun mikrokozmosudur.
Kaynaklar, ajansın hileli iadeleri engelleme çabalarını daha da karmaşık hale getiren şeyin, CRA içinde “itme ve kovalamaca” kültürü olarak bilinen şeyin, yani vergi iadelerinin mümkün olan en kısa sürede kamuya açıklanması ve tutarsızlıkların daha sonra gözden geçirilmesine yönelik kasıtlı bir politika olduğunu söylüyor. .
Larue, CRA’nın “mümkün olduğu kadar çabuk” gelir elde eden “verimli” bir kurum “imajını” desteklemeyi sevdiğini söyledi.
Kaynaklar, bu yaklaşımın dolandırıcıların gelişmesi için büyük bir boşluk bıraktığını söyledi Beşinci özellik/Radyo Kanada.
Ajans yetkilileri, Nisan ayında karanlık ağda yasa dışı olarak elde edilen H&R Block verilerini satmayı teklif eden gönderileri fark ettikten sonra bir şeylerin ters gittiğini fark etmiş gibi görünüyordu.
Bilgisayar korsanları, H&R Block’un CRA tarafından sağlanan e-dosyalama kimlik bilgilerini, yani şirketin muhasebecilerinin vergi mükellefleri adına beyanname vermek için kullandıkları gizli elektronik anahtarları ele geçirdi.
Sonunda, çalınan H&R blok bilgilerinin dolandırıcıların Kanadalıların vergi beyannamelerine erişmesine, sahte geri ödemeler ve vergi indirimi talep etmek için banka bilgilerini ve hatta adreslerini değiştirmesine yardımcı olduğu ortaya çıktı.
Kaynaklara göre TRA, aynı banka hesabına bağlı olmayan birden fazla geri ödeme yaptığını fark etti.
CRA denetçileri, dolandırıcılara 14 milyon dolar daha ödenmesini durdurmadan önce, 2024’te 6 milyon dolardan fazla ödeme yapmak üzere kandırıldıkları sonucuna vardı.
Kurum içi ve kurum dışı iletişim eksikliği
Kaynaklara göre TRA, dolandırıcıların banka hesaplarından birini kullandığından şüphelense bile temel bilgileri her zaman finansal kurumlarla paylaşmıyor.
Kaynaklar, kurumun ayrıca iç iletişim eksikliğinin bilgisayar korsanlarının aranmasını yavaşlatmasından endişe duyduğunu da ekledi.
TRA yaptığı açıklamada, rapor edilen ihlallerdeki keskin artışın 2020’ye ve koronavirüs acil durum yardımlarının uygulamaya konulmasına kadar uzandığını söyledi. Ajans, bireysel vergi mükellefi hesapları için daha fazla koruma sağlayarak ve çevrimiçi hizmetlerini güvence altına alarak yanıt verdiğini söyledi.
Bir CRA sözcüsü, bir ihlal durumunda “vergi mükellefi bilgilerine ve vergi mükellefi hesaplarına yönelik tehditlere hızlı bir şekilde yanıt vermek ve bunları azaltmak için süreç ve prosedürlerin mevcut olduğunu” belirtti.
Ajans sözcüsü Kim Theveault, “Dolandırıcılar uygulamalarını uyarladıkça CRA da aynısını yapıyor” dedi.
- Bu hikayenin konusuyla ilgili herhangi bir ipucunuz varsa Harvey.Cashore@cbc.ca veya Daniel.Leblanc@cbc.ca’ya e-posta gönderin veya 416-526-4704’ü arayın.
