أصدرت شركة مايكروسوفت تحذيراً صارخاً من أن موسم تقديم الإقرارات الضريبية قد أصبح ذروة النشاط لمجرمي الإنترنت، الذين ينفذون بشكل عدواني حملات تصيد واحتيال وإرسال برمجيات خبيثة متنكرة في شكل اتصالات ضريبية قانونية. يستغل هؤلاء الجهات الفاعلة المهددة القلق واسع النطاق والإلحاح والطبيعة الإلزامية للإقرار الضريبي لخداع الأفراد والمحاسبين للنقر على روابط ضارة أو فتح مرفقات مصابة أو الكشف عن بيانات الاعتماد الحساسة. غالباً ما تحاكي هذه الحملات هيئات الإيرادات الحكومية أو مزودي برامج الضرائب أو أقسام المحاسبة المؤسسية، باستخدام طعوم مقنعة للغاية تتعلق باسترداد الأموال أو أخطاء في الإقرارات أو إشعارات المراجعة. يؤكد هذا التزايد السنوي على تقاطع حاسم حيث تخلق المواعيد النهائية المالية عاصفة مثالية لهجمات الهندسة الاجتماعية.
أصبح التنفيذ التقني لهذه الحملات متطوراً بشكل متزايد. يستغل المهاجمون البيانات المسروقة من الخروقات السابقة لتخصيص رسائل البريد الإلكتروني التصيدية، مما يجعلها تبدو أكثر مصداقية. تقوم المرفقات المحملة بالبرمجيات الخبيثة، التي غالباً ما تتنكر في شكل نماذج W-2 أو مستندات ضريبية أو تحديثات برمجية، بنشر حمولات تتراوح من أحصنة طروادة مسروقة للمعلومات مثل Emotet إلى برامج الفدية التي يمكنها قفل أنظمة المحاسبة بالكامل. علاوة على ذلك، ينشئ المجرمون نسخاً مزيفة ولكن مقنعة من البوابات الضريبية الرسمية لجمع بيانات تسجيل الدخول، والتي يمكن استخدامها بعد ذلك لسرقة الهوية أو تقديم إقرارات ضريبية احتيالية نيابة عن الضحية. لاحظت فرق الأمان في مايكروسوفت زيادة ملحوظة في النطاقات الضارة المسجلة بكلمات رئيسية متعلقة بالضرائب في الأسابيع التي تسبق مواعيد الإقرار النهائية.
بالنسبة للمؤسسات، يتجاوز الخطر مجرد اختراق فردي للموظف. يمكن لهجوم تصيد ناجح على عضو في قسم المالية أو الموارد البشرية أن يوفر للمهاجمين كنزاً من بيانات نموذج W-2 للموظفين والتفاصيل المالية المؤسسية وإمكانية الوصول إلى النظام. وهذا يجعل الشركات، وخاصة المؤسسات الصغيرة والمتوسطة ذات الإجراءات الأمنية الأقل قوة، أهدافاً رئيسية خلال هذه الفترة. يمكن أن يؤدي الاختراق إلى احتيال مالي مباشر، وعقوبات تنظيمية بسبب فشل حماية البيانات، وأضرار جسيمة بالسمعة.
للدفاع ضد هذه التهديدات الموسمية، توصي مايكروسوفت وخبراء الأمن السيبراني باستراتيجية دفاع متعددة الطبقات. يشمل ذلك تنفيذ حلول ترشيح بريد إلكتروني متقدمة يمكنها اكتشاف ومحاولات انتحال الشخصية وعزلها، وإجراء تدريب إلزامي على التوعية الأمنية يركز على الطعوم المستخدمة في موسم الضرائب، وتفعيل المصادقة متعددة العوامل على جميع الحسابات المالية والضريبية. يُنصح الأفراد والمؤسسات بالتحقق من صحة أي اتصال ضريبي عن طريق الاتصال بالمرسل المفترض عبر قنوات رسمية ومستقلة، وليس أبداً عبر الروابط أو تفاصيل الاتصال الواردة في بريد إلكتروني مشبوه. التيقظ والتحقق هما أكثر الأدوات فعالية لضمان أن يظل موسم الضرائب فترة للامتثال المالي، وليس بوابة للجريمة الإلكترونية.
