Catorze empleats van entrar en habitacions restringides plenes de declaracions d'impostos de contribuents 1.375 vegades durant vuit mesos, sense l'accés que se suposava que havien de tenir. A les mateixes instal·lacions, els sistemes informàtics marcats com a riscos de seguretat "crítics" van estar sense pedaçar durant una mitjana de 223 dies — gairebé vuit vegades més que el termini de 30 dies per a la correcció que el mateix IRS exigeix. Si heu presentat una declaració d'impostos en paper durant l'últim any, hi ha una possibilitat real que el vostre número de la Seguretat Social, els detalls dels vostres ingressos i la informació del vostre compte bancari hagin passat per un d'aquests edificis.
Això no és una hipòtesi. És la conclusió d'un informe d'un organisme federal de vigilància publicat a mitjan 2026, i val la pena entendre-ho — tant perquè revela com es gestionen realment les vostres dades fiscals, com perquè us hauria d'impulsar a fer alguna cosa a continuació.
Què va trobar realment l'organisme de vigilància
L'Oficina de l'Inspector General del Tresor per a l'Administració Tributària (TIGTA) — l'oficina independent que audita el IRS — va inspeccionar dues instal·lacions gestionades per contractistes privats en el marc de la "Iniciativa Zero Paper" del IRS. Aquesta iniciativa existeix per un motiu raonable: el IRS encara rep milions de declaracions d'impostos en paper cada any, i en lloc d'introduir manualment les dades, ara envia piles de declaracions en paper a contractistes externs que escanegen els documents i n'extreuen les dades electrònicament. És un esforç de modernització sensat. El problema que va trobar la TIGTA és com s'està gestionant.
Als dos llocs que la TIGTA va visitar durant el 2025, les conclusions es van dividir en tres categories.
Accés físic no autoritzat. Catorze empleats de contractistes que no tenien l'autorització adequada van entrar en àrees restringides que contenien documents fiscals sensibles. En conjunt, van fer 1.375 entrades no autoritzades entre maig i desembre de 2025. La TIGTA no va trobar proves directes que ningú accedís o copiés un document de manera indeguda — però el volum d'entrades mostra que els controls d'accés destinats a prevenir precisament aquest tipus d'exposició simplement no funcionaven. El moll de càrrega d'un dels llocs, que es connecta directament amb la zona d'emmagatzematge de documents dels contribuents, es va trobar sense assegurar i sense vigilància. La tanca perimetral de la instal·lació tampoc tenia controls de seguretat adequats.
Vulnerabilitats informàtiques sense resoldre. Aquesta és la part que hauria de preocupar qualsevol que pensi en la seguretat de les dades. En un lloc, els auditors van identificar 269 vulnerabilitats de seguretat als sistemes que processen la informació dels contribuents. D'aquestes, 128 — el 48% — no s'havien solucionat dins dels terminis establerts per la política del IRS. Vint d'aquestes vulnerabilitats sense resoldre estaven qualificades com a "crítiques", el nivell de gravetat més alt, i havien estat obertes durant una mitjana de 223 dies, contra un requisit de correcció de 30 dies. Altres 84 vulnerabilitats de gravetat "alta" tenien una mitjana de 231 dies sense resoldre, contra un requisit de 60 dies. La TIGTA va assenyalar específicament un defecte crític relacionat amb programari no compatible encara en ús, i un altre que implicava una configuració de base de dades que podria permetre a un atacant eludir completament l'autenticació.
Supervisió feble de les eines dels contractistes. Al segon lloc, el contractista utilitzava programari d'escaneig de vulnerabilitats que mai s'havia validat segons l'estàndard de seguretat requerit pel govern. L'informe de la TIGTA va assenyalar que el personal de ciberseguretat del IRS sabia que el contractista utilitzava eines d'escaneig no autoritzades i no va actuar en conseqüència. Al primer lloc, la política del IRS exigeix escanejos de seguretat mensuals de tots els dispositius que manipulen dades dels contribuents — però a l'agost de 2025, el contractista va escanejar només un de 203 dispositius.
Per què això importa encara que no es "robés" res
La TIGTA va tenir cura de dir que no va trobar proves confirmades que un actor maliciós accedís a les dades dels contribuents a través d'aquestes llacunes. Aquesta és una distinció realment important, i no és un intent de maquillar la situació — una porta desbloquejada no és el mateix que un robatori.
Però tampoc és la tranquil·litat que podria semblar. Les fallades de seguretat com aquesta importen independentment que hagin estat explotades, per tres raons:
- Una declaració d'impostos és un dels kits d'eines de robatori d'identitat més complets que existeixen. Conté un número de la Seguretat Social, nom complet i adreça, informació de l'empresari, números de compte bancari i de ruta per al dipòsit directe, detalls dels comptes d'inversió i sovint informació sobre cònjuges i persones a càrrec. Una sola declaració exposada pot alimentar el robatori d'identitat, la presentació fraudulenta de declaracions i intents de presa de control de comptes durant anys.
- Les vulnerabilitats crítiques sense pedaçar són un risc permanent, no un esdeveniment puntual. Un defecte que permet eludir l'autenticació no necessita ser "utilitzat" el dia que es descobreix per ser perillós — queda allà com una porta que es manté desbloquejada fins que algú la tanca. 223 dies són més de set mesos de finestra d'exposició.
- Això segueix un patró de problemes documentats de seguretat de dades del IRS. L'informe de la TIGTA arriba en un context d'incidents anteriors d'alt perfil que impliquen dades de contribuents del IRS (inclòs el cas de 2023 en què un empleat d'un contractista va filtrar registres fiscals de milers de contribuents d'ingressos alts a mitjans de comunicació). Conclusions de vigilància com aquesta són part del motiu pel qual aquesta història continua sent esmentada — els controls institucionals subjacents encara s'estan posant al dia.
Què diu el IRS que farà al respecte
Al seu crèdit, el IRS va estar d'acord amb les conclusions de la TIGTA i es va comprometre a solucions específiques en lloc de discutir l'informe. Les seves mesures de correcció declarades inclouen:
- Actualitzar la seva guia de seguretat interna (Publicació 4812) per requerir revisions mensuals dels registres d'accés físic als llocs dels contractistes, en lloc del cicle de revisió anual actual.
- Crear un procés mensual per marcar vulnerabilitats antigues i no resoltes perquè els funcionaris de compres i la direcció dels contractistes puguin actuar-hi més ràpidament.
- Reforçar la manera com avalua i supervisa les pràctiques de ciberseguretat dels contractistes cap endavant.
Aquests són compromisos raonables, i val la pena reconèixer quan una agència respon constructivament a un informe de vigilància. Però "compromès a corregir" i "corregit" són estats diferents, i les pròpies xifres de la TIGTA mostren quant pot escapar-se entre un cicle de revisió anual i un problema real que queda sense abordar durant mesos.
Què podeu fer realment al respecte
No podeu controlar com un contractista extern assegura la seva instal·lació. Però no esteu indefensos: hi ha passos concrets que redueixen la vostra exposició independentment de què la va causar.
Obteniu un PIN de Protecció d'Identitat del IRS (IP PIN). Aquesta és l'eina gratuïta més eficaç disponible per a contribuents individuals. És un codi de sis dígits que canvia anualment i s'ha d'incloure a qualsevol declaració d'impostos presentada sota el vostre número de la Seguretat Social — sense ell, el IRS rebutjarà una declaració electrònica i marcarà una de paper per a una revisió addicional. Això vol dir que, fins i tot si algú té el vostre SSN, no pot presentar amb èxit una declaració fraudulenta al vostre nom. Us podeu inscriure a través del vostre compte en línia del IRS, i un cop inscrits, el IRS us emet automàticament un nou PIN cada temporada de declaració. Si la vostra informació ha estat implicada en qualsevol bretxa de seguretat — aquesta o una altra — val la pena fer-ho avui, no la propera temporada d'impostos.
Presenteu la declaració aviat l'any vinent. Els esquemes de devolucions fraudulentes es basen a avançar-se al contribuent real. Com més aviat presenteu, més petita serà la finestra que un delinqüent tingui per presentar primer amb informació robada.
Vigileu el vostre expedient i compte del IRS, no només els vostres extractes bancaris. La majoria de la gent controla els seus comptes bancaris i targetes de crèdit per detectar fraus, però mai revisa el seu compte en línia del IRS. El robatori d'identitat relacionat amb impostos sovint es manifesta primer com una presentació electrònica rebutjada (perquè algú ja ha presentat amb el vostre SSN) o un avís inesperat sobre una declaració que no heu presentat. Comprovar-ho periòdicament detecta problemes abans que es compliquin.
Considereu si necessiteu presentar en paper. Si actualment presenteu declaracions en paper per elecció o costum, aquest és un moment raonable per reconsiderar-ho. Les declaracions electròniques van a través de canals electrònics controlats pel IRS en lloc de ser enviades físicament a una instal·lació d'escaneig de tercers. Per a la majoria de contribuents individuals, la presentació electrònica és més ràpida, té una taxa d'error més baixa i — segons aquest informe — té actualment una superfície d'atac més estreta que la via del paper.
Si utilitzeu un preparador o comptable, pregunteu com transmeten les vostres dades. El mateix principi que s'aplica als contractistes del IRS s'aplica a qualsevol tercer que gestioni els vostres registres financers: la seguretat física i la cadència de pedaços no són preocupacions abstractes de TI, són el mecanisme real que protegeix el vostre número de la Seguretat Social.
La lliçó més gran: les cadenes de custòdia de dades són més llargues del que penseu
La conclusió incòmoda d'aquest informe no és realment sobre el IRS específicament — és un recordatori de quantes mans passen les vostres dades financeres abans que siguin "processades". Una declaració d'impostos en paper no va directament de la vostra bústia a una base de dades governamental. Va al magatzem d'un contractista privat, és manipulada per personal l'accés del qual necessita ser auditat, roman en sistemes que necessiten pedaços segons un calendari, i només llavors arriba a l'agència amb la qual vau presentar realment. Cada enllaç d'aquesta cadena és un lloc on els controls poden fallar.
Això és cert per a persones que presenten el formulari 1040, i ho és igualment per a petites empreses i autònoms que gestionen els seus propis llibres. Com menys intermediaris toquin les vostres dades financeres en brut, i com més visibilitat tingueu sobre exactament on viuen els vostres registres i com es mouen, més petita serà la vostra exposició. Això forma part de l'argument a favor d'eines que mantinguin els vostres registres financers en un format que controleu directament, en lloc de confiar-los completament a sistemes de tercers opacs i esperar que les conclusions de les auditories es mantinguin netes.
Mantingueu els vostres registres financers sota el vostre propi control
Informes de vigilància com aquest són un recordatori útil que la seguretat de les dades financeres no només tracta de contrasenyes fortes — tracta de quantes mans passen els vostres registres i quina visibilitat teniu sobre cadascuna. Beancount.io ofereix comptabilitat en text pla que manté les vostres dades financeres transparents i amb control de versions en els vostres propis termes, sense emmagatzematge opac de tercers entremig. Comenceu gratuïtament i descobriu per què els desenvolupadors i les persones conscients de les finances s'estan passant a sistemes de comptabilitat que poden auditar ells mateixos.