IRS предупреждает налоговых специалистов о новой волне фишинговых атак

Налоговая служба США (IRS) совместно с Security Summit опубликовала предупреждение для налоговых специалистов: зафиксирован рост фишинговых рассылок, нацеленных на кражу credentials, банковских реквизитов и номеров социального страхования клиентов. По данным пресс-релиза, IRS фиксирует эволюцию тактик и адаптацию схем под конкретные бухгалтерские фирмы.

Вектора и тактики

Фишинговые письма маскируются под уведомления IRS, штатных налоговых органов и коммерческих партнёров. Цель — вынудить получателя раскрыть пароли, банковские реквизиты, номера кредитных карт или SSN. IRS подчёркивает: тактики продолжают эволюционировать, специалистам необходимо сохранять бдительность при обработке любых входящих сообщений с запросом конфиденциальных данных. Предупреждение сделано в рамках ежегодной серии материалов и адресовано прежде всего CPA-фирмам и бухгалтерским практикам.

Контекст кампании

Предупреждение — второй материал ежегодной серии Protect Your Clients; Protect Yourself, которую Security Summit проводит с 2015 года. Security Summit объединяет IRS, штатные налоговые органы, отраслевых партнёров и налоговых специалистов. В релизе IRS рекомендует набор Security Six — шесть базовых мер для защиты офисов, рабочих станций, данных и клиентов. До конца лета сессии пройдут на Nationwide Tax Forums — Нью-Йорк 18–20 августа, Орландо 1–3 сентября, Сан-Диего 15–17 сентября.

Контроль на стороне MTA

Проверьте DNS-записи домена. SPF — ограничьте authorized senders. DKIM — подпишите все исходящие потоки. DMARC — переведите policy в quarantine после периода наблюдения в p=none, затем в reject. Запретите open relay. Аудируйте mailbox forwarding rules в учётных записях бухгалтерии — автопересылка часто используется для эксфильтрации. Включите MTA-STS и TLS-RPT для контроля доставки через TLS. Проверьте PTR исходящих MTA — отсутствие rDNS снижает репутацию. Настройте алерты на рост NDR/DSN, SPF=fail и DKIM=fail в логах. Ограничьте приём executable-вложений на уровне content filter. Запретите auto-loading remote content в почтовом клиенте. При инциденте — немедленный контакт с IRS Stakeholder Liaison и уведомление штатного налогового органа через портал Federation of Tax Administrators Report a Data Breach.