Una presentació electrònica rebutjada. Un model 941 que no recordes haver enviat. Un informe anual del Secretari d'Estat amb un nou agent registrat del qual mai has sentit a parlar. Cadascun d'aquests és un senyal petit i fàcil de passar per alt, i cadascun és una empremta clàssica del robatori d'identitat empresarial. Segons la FTC, els informes de robatori d'identitat van superar els 1,1 milions el 2024, i l'IRS continua tractant el robatori d'identitat empresarial com una amenaça distinta i creixent juntament amb el robatori d'identitat personal.
A diferència del robatori d'identitat del consumidor, el robatori d'identitat empresarial rarament està cobert per una sola llei, una sola agència o una sola pòlissa d'assegurança. Els EIN no es poden congelar de la mateixa manera que els números de la Seguretat Social. Les oficines de crèdit empresarial no ofereixen les mateixes proteccions que Equifax, Experian o TransUnion en l'àmbit del consumidor. I l'IRS, el seu banc, el seu Secretari d'Estat i el seu proveïdor de nòmines operen cadascun en la seva pròpia via de reparació. Aquesta guia us acompanya a través dels senyals d'alerta, els passos de resposta immediata i les pràctiques defensives durant tot l'any que els propietaris de petites empreses —des de propietaris individuals fins a societats de capital tancat (C-corporations)— poden implementar aquesta setmana.
Com es produeix realment el robatori d'identitat empresarial
La majoria dels atacs reeixits de robatori d'identitat empresarial es basen en informació disponible públicament. El vostre EIN apareix als models W-9, 1099, documents de constitució i, de vegades, a les vostres factures. El vostre agent registrat, la data de constitució, els directius i l'adreça són públics a través de les bases de dades del Secretari d'Estat. Combineu això amb una adreça postal robada, una carta signada falsificada o un compte de correu electrònic compromès, i un lladre té tot el que necessita per suplantar la vostra empresa.
Els patrons d'atac comuns inclouen:
- Frau fiscal basat en l'EIN. Els criminals presenten un formulari 1120, 1120-S o 1065 fraudulent en nom de la vostra empresa per reclamar crèdits reemborsables o utilitzar la declaració per apuntalar un esquema posterior de robatori d'identitat individual.
- Frau de nòmines. Es presenten formularis 941 falsos per generar crèdits reemborsables, o es carrega un lot de W-2 falsificats als Serveis Empresarials en Línia de l'Administració de la Seguretat Social per recollir els números de la Seguretat Social dels empleats.
- Segrest de l'agent registrat. Un lladre presenta una esmena davant el seu Secretari d'Estat canviant l'agent registrat o el directiu principal. Un cop controlen l'adreça postal oficial per a notificacions judicials, redirigeixen els avisos governamentals i poden obrir comptes en el seu nom.
- Presa de control de comptes bancaris i de comerciant. Phishing o robatori de credencials contra el vostre portal de banca empresarial, l'eina d'originació ACH o el processador de pagaments —sovint seguit de retirades ràpides abans que us n'adoneu.
- Fabricació de 1099-NEC i 1099-K. Els lladres emeten models 1099 al vostre nom per a treballadors que mai heu empleat, creant despeses falses en una declaració fraudulenta i provocant avisos de l'IRS a persones que no coneixeu.
Els senyals d'alerta que no podeu ignorar
L'IRS i la majoria dels examinadors de frau coincideixen en una llista curta de senyals d'alerta. Tracteu qualsevol d'aquests com un incident presumpte i inicieu els passos de resposta següents el mateix dia que els detecteu.
Senyals en l'àmbit fiscal
- La vostra declaració presentada electrònicament és rebutjada perquè ja existeix una declaració per al mateix període.
- Rebeu un avís de l'IRS —CP2000, Carta 6042C o una sol·licitud de transcripció— que fa referència a una declaració, dipòsit o reemborsament que no heu iniciat.
- Una sol·licitud de pròrroga rutinària (Formulari 7004) és rebutjada per duplicitat.
- Apareixen formularis W-2 que mai heu enviat al vostre compte de Serveis Empresarials en Línia de la SSA.
- Un avís d'impostos sobre l'ocupació de l'IRS fa referència a trimestres en què mai heu tingut nòmina.
- Veieu dipòsits al vostre Compte Fiscal d'Empresa de l'IRS de crèdits que no heu reclamat.
Senyals de registre i bancaris
- El vostre portal del Secretari d'Estat mostra un nou agent registrat, nous directius o una adreça desconeguda.
- Rebeu una confirmació de renovació o esmena que no heu autoritzat.
- El vostre informe de crèdit empresarial de Dun & Bradstreet, Experian Business o Equifax Small Business mostra noves línies de crèdit o consultes.
- Els proveïdors truquen per factures adreçades a la vostra empresa que mai us van arribar.
- El vostre banc marca activitat ACH, nous usuaris autoritzats o sol·licituds de transferència que no heu iniciat.
Senyals operatius
- El correu que esperàveu —avisos d'impostos sobre nòmines, extractes bancaris, xecs de proveïdors— deixa d'arribar.
- Els clients o treballadors reben models 1099 del vostre EIN que mai heu emès.
- El vostre proveïdor de nòmines avisa sobre intents d'inici de sessió inusuals o nous usuaris administradors.
Les primeres 72 hores: El vostre manual de resposta
La rapidesa és clau. La majoria de les reparacions de robatori d'identitat es tornen més difícils com més temps roman el frau en el sistema. Utilitzeu aquesta seqüència orientativa; molts passos es poden executar en paral·lel.
Hores 0–4: Aturar l'hemorràgia
- Protegiu les credencials. Forceu un restabliment de contrasenya a cada compte que pugui tocar les vostres finances: Compte en Línia de l'IRS, Compte Fiscal d'Empresa de l'IRS, EFTPS, portals tributaris estatals, banca empresarial, eines d'originació ACH, processadors de comerciants, proveïdor de nòmines, portal de presentació del Secretari d'Estat i correu electrònic. Activeu l'autenticació multifactor a tot arreu on s'ofereixi, idealment utilitzant una clau de seguretat física o una aplicació d'autenticació en lloc d'SMS.
- Documenteu el que veieu. Feu captures de pantalla amb data de l'avís sospitós, la presentació rebutjada, el registre del Secretari d'Estat o l'extracte bancari. Guardeu la carta original de l'IRS; la necessitareu per al Formulari 14039-B.
- Informeu el vostre banc immediatament. Revertiu qualsevol transferència ACH o bancària pendent si el termini del banc encara ho permet. Demaneu al banc que marqui el compte per a revisió de frau i que restableixi qualsevol regla de pagament positiu (positive-pay).
Dia 1: Presentar les declaracions jurades
- Presentar el formulari 14039-B de l'IRS, la Declaració jurada de robatori d'identitat empresarial. Aquest és el formulari que utilitzen les empreses, fideïcomisos, herències i organitzacions exemptes d'impostos quan un lladre utilitza el nom de la vostra empresa o l'EIN. Adjunteu còpies de la notificació de l'IRS que va provocar la vostra sospita i qualsevol declaració o transcripció que pugueu obtenir.
- Trucar a la línia d'impostos comercials i especialitzats de l'IRS al 1-800-829-4933. Demaneu al representant que marqui el vostre compte per a una revisió de robatori d'identitat i sol·liciteu una Carta 147C com a nova prova del vostre EIN legítim si us falta el CP575.
- Presentar un informe a la FTC a IdentityTheft.gov i obtenir un pla de recuperació. Tot i que el procés principal de la FTC està centrat en el consumidor, l'ID del cas és útil quan es treballa amb bancs i agències d'informació creditícia.
- Presentar una denúncia policial a la vostra jurisdicció local. Moltes oficines de la Secretaria d'Estat i alguns bancs no actuaran en disputes sense una denúncia.
Dia 2: Aturar la propagació
- Contactar amb les tres agències d'informació creditícia empresarial. No es pot bloquejar un fitxer de crèdit empresarial de la mateixa manera que un de personal, però podeu posar alertes de frau i disputar consultes:
- Dun & Bradstreet (D&B): sol·liciteu una alerta de frau al vostre perfil DUNS i verifiqueu les línies comercials.
- Experian Business: obriu una disputa i afegiu una declaració de frau.
- Equifax Small Business: sol·liciteu la revisió de nous comptes i consultes.
- Notificar a la vostra Secretaria d'Estat. Si un lladre ha modificat el vostre agent registrat o els directius, presenteu una esmena correctiva i seguiu el procediment d'informació de robatori d'identitat del vostre estat. Molts estats (Colorado, Florida, Nova York i d'altres) tenen ara formularis dedicats.
- Informar a proveïdors i clients. Si ja s'han emès factures falses o formularis 1099 falsos, un correu electrònic breu i factual —no un enviament publicitari— pot evitar que els pagaments vagin a un compte equivocat.
Dia 3 i en endavant: Conciliar i recuperar
- Conciliar els formularis 1099 fraudulents. Si s'ha emès un 1099-NEC o 1099-K fals sota el vostre EIN, emeteu un 1099 corregit de zero dòlars i documenteu la disputa en els vostres registres comptables. Guardeu la notificació de l'IRS, la vostra declaració corregida i la declaració jurada juntes com un únic expedient.
- Substituir el correu perdut. Auditeu l'USPS per detectar sol·licituds de canvi d'adreça no autoritzades a usps.com/manage. Considereu el servei USPS Informed Delivery per veure escanejos del correu entrant.
- Restablir l'accés dels empleats. Qualsevol persona que hagi deixat l'empresa o hagi canviat de rol hauria de perdre totes les credencials que ja no necessiti. La majoria dels incidents de robatori d'identitat empresarial impliquen almenys un compte que no hauria d'haver estat actiu.
El paper silenciós de la comptabilitat en la detecció del frau
Una comptabilitat sòlida és un dels controls de frau més barats i efectius que té una petita empresa. Un llibre major net fa visibles les anomalies, i la visibilitat ho és tot en el robatori d'identitat. Tres hàbits són els que més importen:
- Disciplina de conciliació mensual. Concilieu cada compte bancari, targeta de crèdit, nòmina i compte de comerciant cada mes. Els llibres desactualitzats amaguen transferències ACH no autoritzades, nòmines fantasma i pagaments a proveïdors robats durant mesos.
- Pla de comptes definit. Comptes diferenciats per a pagaments d'impostos, passius de nòmines, dipòsits de comerciants i transferències entre empreses faciliten la detecció d'una xifra que no correspon. Un compte "miscel·lani" genèric és on s'amaga el frau.
- Registres amb control de versions. Quan l'IRS sol·liciti documentació que recolzi el vostre formulari 941 o 1120-S real, voldreu un rastre que mostri quan s'ha fet cada entrada i per qui. Els registres a prova de manipulacions són or durant una remediació de robatori d'identitat.
Uns llibres precisos i transparents també escurcen el temps que es triga a demostrar que una declaració és fraudulenta. Com més ràpid pugueu produir un registre de nòmines, un llibre diari o un llibre major net que cobreixi el període disputat, més ràpid podrà tancar el vostre cas la Unitat Especialitzada de Protecció d'Identitat de l'IRS.
Pràctiques defensives durant tot l'any
La majoria de les empreses que es recuperen ràpidament d'un robatori d'identitat són les que es van preparar abans de rebre l'atac. Els següents hàbits costen molt poc i s'amortitzen la primera vegada que alguna cosa va malament.
Protegiu la vostra petjada a l'IRS
- Verifiqueu la vostra identitat una vegada amb ID.me i creeu un compte en línia de l'IRS per a l'empresa. Des d'allà podreu monitorar saldos, transcripcions i notificacions de manera proactiva en lloc de reactiva.
- Guardeu el vostre CP575 (la confirmació original de l'IRS del vostre EIN) en un lloc segur i redundant. Si no el trobeu, truqueu a la línia d'impostos comercials i especialitzats de l'IRS per obtenir una Carta 147C i deseu-la.
- Sol·liciteu una transcripció fiscal almenys una vegada a l'any, i un cop cada trimestre si teniu nòmines. Una transcripció d'ingressos i salaris inesperada és sovint el primer senyal de frau en les nòmines.
Protegiu la vostra petjada estatal
- Subscriviu-vos a les alertes per correu electrònic o SMS de la Secretaria d'Estat on s'ofereixin. Qualsevol notificació d'informe anual o d'esmena no sol·licitada mereix una revisió el mateix dia.
- Utilitzeu un servei d'agent registrat professional en lloc d'una adreça personal. Un agent professional detectarà el correu sospitós i és més difícil de suplantar.
- Subscriviu-vos a les alertes d'inscripcions UCC del vostre estat si estan disponibles; les inscripcions fantasmes UCC-1 contra els vostres actius són un precursor conegut del frau de prestadors.
Protegiu la vostra petjada bancària i de nòmines
- Activeu el "positive pay" o el "reverse positive pay" en cada compte corrent empresarial.
- Requeriu la doble aprovació per a l'originació d'ACH i qualsevol transferència per sobre d'un llindar baix (moltes petites empreses utilitzen 1.000 € o 2.500 €).
- Limiteu qui té accés d'administrador al vostre proveïdor de nòmines. Auditeu les llistes d'administradors trimestralment.
- Utilitzeu claus de seguretat de maquinari (FIDO2/WebAuthn) a la banca, les nòmines i el correu electrònic. El SMS i les aplicacions d'autenticació són millors que només les contrasenyes, però les claus de maquinari derroten gairebé qualsevol robatori de compte impulsat pel fitxatge (phishing).
Protegiu la vostra petjada de crèdit i proveïdors
- Subscriviu-vos a almenys un servei de monitoratge de crèdit empresarial. CreditSignal de D&B ofereix alertes gratuïtes; el monitoratge complet de D&B, Experian Business o Nav sol costar entre 15 i 199 $ al mes.
- Verifiqueu els canvis en les dades bancàries de nous proveïdors trucant a un número de telèfon que ja tingueu registrat, no al que apareix al correu electrònic que sol·licita el canvi. Les estafes de compromís del correu electrònic empresarial gairebé sempre impliquen un missatge amb "nova informació d'ACH".
- Estandarditzeu com emeteu els formularis 1099 i manteniu una llista completa de cada beneficiari. Un procés d'emissió controlat fa que sigui obvi quan apareix un 1099 falsificat amb el vostre EIN.
Què cobrirà i què no cobrirà la vostra assegurança
La majoria de les pòlisses genèriques per a propietaris de petites empreses (BOP) no cobreixen el robatori d'identitat empresarial. La cobertura que busqueu es troba sota un d'aquests tres complements:
- Responsabilitat ciber (Cyber liability): normalment cobreix el robatori de credencials, el compromís del correu electrònic empresarial i els costos de reparació.
- Assegurança contra delictes: pot cobrir pèrdues per xecs falsificats, frau informàtic i frau en la transferència de fons, sovint subjecte a clàusules de verificació.
- Endosos de recuperació d'identitat: de vegades s'adjunten a les BOP o a les pòlisses ciber i reemborsen les despeses legals, les taxes de presentació de documents i la pèrdua de productivitat.
Llegiu atentament les clàusules de garantia i verificació. Moltes pòlisses contra delictes deneguen les reclamacions si la doble autorització o la verificació per trucada eren contractualment obligatòries i no es van realitzar. La higiene de control de la secció anterior no només és una bona pràctica: preserva la vostra cobertura.
Tasques de recuperació a llarg termini que la majoria de propietaris obliden
Un cop continguda la crisi immediata, establiu recordatoris al calendari per a aquests seguiments; aquests detecten la segona onada de frau que sovint segueix a la primera:
- A 30 dies: Sol·liciteu transcripcions actualitzades de l'IRS, del departament d'hisenda del vostre estat i del vostre compte d'assegurança d'atur.
- A 60 dies: Torneu a auditar els registres de la Secretaria d'Estat i confirmeu que el canvi d'agent registrat s'hagi reflectit.
- A 90 dies: Torneu a sol·licitar els informes de crèdit empresarial i confirmeu que s'hagin eliminat les consultes i les línies comercials (tradelines) fraudulentes.
- A un any: Programeu una revisió anual de robatori d'identitat durant el tancament de l'exercici. Combina de manera natural amb les conciliacions i el treball de preparació d'impostos.
Manteniu la vostra comptabilitat — i la vostra identitat — organitzades des del principi
El fil conductor que uneix cada pas d'aquest manual és la documentació. Com més ràpid pugueu presentar un registre net i fiable del que realment ha fet la vostra empresa —nòmines, declaracions, activitat de proveïdors i transaccions bancàries—, més ràpid es tancaran els casos de robatori d'identitat i menys poder tindrà un lladre sobre la vostra reputació. Beancount.io ofereix una comptabilitat en text pla que és transparent, controlada per versions i preparada per a la IA, de manera que cada entrada del vostre llibre major tingui una història clara i auditable. Comenceu de franc i creeu el tipus de registres que fan que la recuperació de qualsevol tipus de frau sigui dràsticament menys dolorosa.