本页内容
要点速览
- 报税季总会出现一波可以预见的钓鱼攻击，冒充客户、税务机关和软件供应商；请在报税季开始前让员工做好准备。
- 不再通过电子邮件附件交换文件，改用安全的客户门户，或启用多因素身份验证的加密共享。
- 任何付款或银行信息的变更，都要用您档案中已有的电话号码打电话核实。
- 为报税软件和事务所管理软件设置一人一号并启用多因素身份验证，季节性员工离开时及时注销账户。
- 对设备进行加密并集中管理，为客户文件保留经过测试且受保护的备份。
- 记录保留和隐私义务取决于您所属的专业协会、所在司法管辖区和具体委托业务，请向合格的顾问确认。
为什么会计事务所是诱人的攻击目标
会计和记账事务所把许多客户的敏感个人信息和财务信息集中在同一个地方。一个被入侵的邮箱，就可能泄露多年的报税表、薪资记录和身份证件。这些信息可能被用于身份盗用、冒名报税，或针对您客户的定向诈骗。
事务所还处在资金往来的中间环节。客户习惯收到您关于付款、退税、发票和申报的邮件，因此一封看似来自贵所、内容可信的邮件具有真正的权威性。犯罪分子正是利用这种信任实施企业邮箱被入侵（BEC）诈骗：从被劫持的邮箱或仿冒的相似邮箱发送篡改过的银行账户信息。而且由于业务具有季节性、受截止日期驱动，攻击增多的时候，恰恰是员工最忙碌、压力最大的时候。
报税季需要重点培训的钓鱼手法
在旺季开始前，用逼真的示例向员工讲解这些诱饵，并让举报可疑邮件变得快捷、无需担心受到责备。
伪造的客户文件
来自新客户或老客户的邮件，附件或链接标注为T4税单、收据或财务报表，实际却指向窃取凭据的钓鱼页面或恶意软件。
冒充税务机关
看似来自加拿大税务局（CRA）或其他机关的信息，催促您就账户、退税或审查采取行动。请通过官方渠道核实，切勿点击信息中的链接。
软件和门户通知
伪造的报税软件、文件门户或Microsoft 365通知，要求员工登录以保留访问权限，目的是窃取密码和多因素身份验证码。
潜在客户来信
一位新联系人请求帮助，随后发来一个所谓的文件链接，结果却是钓鱼页面或恶意文件。
客户门户与安全的文件交换
用电子邮件附件传递敏感文件并不安全。邮件可能发错地址、被拦截、被转发，或在邮箱里一放就是好几年。这种做法还会让客户养成打开看似来自您的附件的习惯，反而方便了冒充贵所的攻击者。
安全的客户门户——无论是事务所管理软件自带的，还是专门的文件交换服务——让客户通过经过身份验证的连接上传和下载文件，并具备访问日志和撤销访问权限的功能。在门户支持时，要求客户使用多因素身份验证。如果您使用Microsoft 365，对于偶尔的文件交换，使用带有效期的“特定人员”链接进行SharePoint或OneDrive共享，或使用Microsoft Purview邮件加密，都可以作为合适的替代方案。
清楚地告诉客户您会以及不会通过哪些方式沟通：例如，您绝不会通过电子邮件发送银行信息变更，文件一律通过门户传送。这样的说明会让冒充行为更难得逞。
防范付款与银行信息欺诈
企业邮箱被入侵诈骗主要靠流程而不是技术来防范。把流程写下来，并且每次都严格执行。
通过其他渠道核实
任何更改银行信息、转移退款或向新收款人付款的请求，都要用档案中已有的电话号码打电话确认，绝不使用请求中提供的号码。
实行双人审批
超过约定金额的付款以及所有收款人变更，都需要第二个人批准。
标记外部邮件
在Microsoft 365中启用外部发件人标记和冒充防护，让员工能看出一封看似内部的邮件其实来自外部。
留意邮箱规则
对新建的转发或隐藏邮件的收件箱规则发出警报，这是邮箱被入侵的常见迹象。
迅速行动
一旦怀疑出现欺诈付款，立即联系银行，然后联系您的IT服务商和保险公司。行动越快，追回资金的机会越大。
会计事务所的技术控制措施
- 在Microsoft 365、报税软件、事务所管理软件、云会计平台、网上银行和所有远程访问上启用多因素身份验证，合伙人和管理员使用抗网络钓鱼的验证方式。
- 每位员工在每个系统中都有独立账户；报税软件和政府在线服务不要共用登录，这样操作可追溯到个人，访问权限也能干净地移除。
- 笔记本电脑和台式机统一管理并加密，安装终端防护，自动打补丁，日常账户不具备本地管理员权限。
- 为您的域名配置电子邮件身份验证（SPF、DKIM和DMARC），让犯罪分子更难发送看似来自贵所的邮件。
- 按最小权限原则开放客户文件夹，按结构组织，让员工只能看到与其工作相关的客户和年份。
- 为客户文件和事务所数据保留受保护的备份，其中至少一份不可篡改或离线，并定期测试恢复。
- 安全地打印和扫描，包括在不使用旧式身份验证的情况下配置“扫描到电子邮件”或“扫描到文件夹”。
季节性员工与远程办公
许多事务所会在旺季增加临时员工和外包人员。每多一个人，就多一个需要保护、日后还要移除的身份。请使用标准的入职检查清单：发放受管理的设备，或通过应用保护策略限制从个人设备访问；按岗位分配访问权限；并记录结束日期。
按时为季节性员工办理离职同样重要。在最后一个工作日停用账户、撤销会话、收回设备，并移除其对报税软件和门户等第三方系统的访问权限。旺季结束后仍处于活动状态的账户，是一种常见而又完全可以避免的风险。
对于远程办公，要求使用受管理的设备或经批准的应用访问，避免在个人电脑上保存客户文件的本地副本，并确保在家打印客户文件的行为也受到保密政策的约束。
记录保留与隐私义务
会计事务所面临多重要求的交叠：隐私法律、省级会计专业协会的执业准则、适用于客户的税务记录保存规定，以及各份业务约定书的条款。保留期限和安全销毁要求可能因记录类型和客户而异。
技术可以支持您制定的任何政策：Microsoft 365中的保留标签和保留策略、结构化的文件夹归档、有书面记录的旧设备和存储介质安全处置，以及显示谁访问了什么的审计日志。至于政策本身如何制定、发生隐私泄露时该怎么办，则应依据您所属专业协会的指引，并咨询合格的法律和隐私顾问。只保留您需要的数据，并且只保留到需要的时候为止；您不再持有的数据，也就不会被窃取。
旺季前检查清单
在旺季到来之前：确认每个系统都已启用多因素身份验证，举办一次防钓鱼意识复训，测试恢复客户文件，核实设备已打补丁并已加密，提醒客户您会通过哪些方式沟通，并为季节性员工准备好入职和离职检查清单。
常见问题
用电子邮件给客户发送报税文件安全吗？
普通电子邮件不适合传送敏感文件。安全的客户门户或经过加密、有访问控制的共享方式，可以降低邮件发错、被拦截和被冒充的风险。
我们事务所应该把客户记录保留多久？
这取决于您所属专业协会的要求、税务记录保存规定、委托条款以及隐私法律。请与合格的顾问确认您的保留政策，然后配置系统来支持该政策。
如果客户说收到了一封来自我们的可疑邮件，该怎么办？
按邮箱可能已被入侵来处理。联系您的IT服务商检查登录日志和收件箱规则，必要时重置凭据并撤销会话，通过可信渠道提醒受影响的客户，并就可能的通知义务咨询顾问。
小型记账事务所需要和大型事务所一样的控制措施吗？
核心控制措施是一样的，因为数据和威胁都相同。多因素身份验证、受管理的设备、安全的文件交换、付款核实和经过测试的备份，都能很好地适用于只有几个人的事务所。