Quatorze funcionários entraram em salas restritas cheias de declarações de impostos de contribuintes 1.375 vezes ao longo de oito meses, sem a autorização que deveriam ter. Nas mesmas instalações, sistemas de computador classificados como riscos de segurança "críticos" ficaram sem correção por uma média de 223 dias — quase oito vezes mais do que a janela de correção de 30 dias que o próprio IRS exige. Se você apresentou uma declaração de imposto em papel no ano passado, há uma chance real de que seu número de Seguro Social, detalhes de renda e informações de conta bancária tenham passado por um desses edifícios.
Isso não é uma hipótese. É a conclusão de um relatório do órgão fiscalizador federal divulgado em meados de 2026, e vale a pena entender — tanto pelo que revela sobre como seus dados fiscais são realmente tratados, quanto pelo que deve levá-lo a agir a seguir.
O que o Órgão Fiscalizador Realmente Descobriu
O Inspetor-Geral do Tesouro para a Administração Tributária (TIGTA) — o órgão independente que audita o IRS — inspecionou duas instalações administradas por contratados privados no âmbito da "Iniciativa Zero Papel" do IRS. Essa iniciativa existe por um motivo razoável: o IRS ainda recebe milhões de declarações de imposto em papel todos os anos e, em vez de digitar manualmente os dados, agora envia pilhas de declarações em papel para contratados externos que digitalizam os documentos e extraem os dados eletronicamente. É um esforço de modernização sensato. O problema que o TIGTA encontrou está na forma como está sendo administrado.
Nos dois locais que o TIGTA visitou durante 2025, as conclusões se dividiram em três categorias.
Acesso físico não autorizado. Quatorze funcionários de contratados que não tinham a devida autorização entraram em áreas restritas contendo documentos fiscais sensíveis. Combinados, eles fizeram 1.375 entradas não autorizadas entre maio e dezembro de 2025. O TIGTA não encontrou evidências diretas de que alguém tenha acessado ou copiado indevidamente um documento — mas o volume de entradas mostra que os controles de acesso destinados a evitar exatamente esse tipo de exposição simplesmente não estavam funcionando. A doca de carga de um local, que se conecta diretamente à área de armazenamento de documentos de contribuintes, foi encontrada desprotegida e sem vigilância. A cerca perimetral da instalação também não tinha controles de segurança adequados.
Vulnerabilidades de computador não resolvidas. Esta é a parte que deve preocupar qualquer pessoa que pense em segurança de dados. Em um local, os auditores identificaram 269 vulnerabilidades de segurança nos sistemas que processam informações dos contribuintes. Destas, 128 — 48% — não foram corrigidas dentro dos prazos estabelecidos pela política do IRS. Vinte dessas vulnerabilidades não resolvidas foram classificadas como "críticas", o nível de gravidade mais alto, e permaneciam abertas por uma média de 223 dias, contra um requisito de remediação de 30 dias. Outras 84 vulnerabilidades de "alta" gravidade ficaram em média 231 dias sem solução, contra um requisito de 60 dias. O TIGTA destacou especificamente uma falha crítica ligada a software não suportado ainda em uso, e outra envolvendo uma configuração de banco de dados que poderia permitir que um invasor ignorasse completamente a autenticação.
Supervisão fraca das ferramentas dos contratados. No segundo local, o contratado estava usando software de varredura de vulnerabilidades que nunca havia sido validado em relação ao padrão de segurança exigido pelo governo. O relatório do TIGTA observou que a equipe de cibersegurança do IRS sabia que o contratado estava usando ferramentas de varredura não autorizadas e não tomou providências. No primeiro local, a política do IRS exige varreduras de segurança mensais de todos os dispositivos que lidam com dados dos contribuintes — mas em agosto de 2025, o contratado varreu apenas um dos 203 dispositivos.
Por que Isso Importa Mesmo que Nada Foi "Roubado"
O TIGTA fez questão de dizer que não encontrou evidências confirmadas de que um agente mal-intencionado tenha acessado dados de contribuintes por meio dessas brechas. Essa é uma distinção genuinamente importante, e não é um artifício retórico — uma porta destrancada não é o mesmo que um roubo.
Mas também não é a garantia que pode parecer. Falhas de segurança como essas são importantes independentemente de terem sido exploradas, por três razões:
- Uma declaração de imposto é um dos kits de ferramentas de roubo de identidade mais completos que existem. Ela contém número de Seguro Social, nome completo e endereço, informações do empregador, números de conta bancária e roteamento para depósito direto, detalhes de contas de investimento e, muitas vezes, informações sobre cônjuges e dependentes. Uma única declaração exposta pode alimentar roubo de identidade, solicitação fraudulenta de reembolso e tentativas de apropriação de contas por anos.
- Vulnerabilidades críticas não corrigidas representam um risco contínuo, não um evento único. Uma falha que permite que alguém ignore a autenticação não precisa ser "usada" no dia em que é descoberta para ser perigosa — ela fica ali como uma porta que permanece destrancada até que alguém a feche. 223 dias são mais de sete meses de janela de exposição.
- Isso segue um padrão de preocupações documentadas de segurança de dados do IRS. O relatório do TIGTA surge em um contexto de incidentes anteriores de alto perfil envolvendo dados de contribuintes do IRS (incluindo o caso de 2023 em que um funcionário contratado vazou registros fiscais de milhares de declarantes de alta renda para organizações de notícias). Conclusões de órgãos fiscalizadores como esta são parte do motivo pelo qual esse histórico continua sendo citado — os controles institucionais subjacentes ainda estão se atualizando.
O que o IRS Diz que Está Fazendo a Respeito
Para seu crédito, o IRS concordou com as conclusões do TIGTA e se comprometeu com correções específicas, em vez de contestar o relatório. As etapas de remediação declaradas incluem:
- Atualizar sua orientação de segurança interna (Publicação 4812) para exigir revisões mensais dos registros de acesso físico nos locais dos contratados, em vez do ciclo de revisão anual atual.
- Criar um processo mensal para sinalizar vulnerabilidades antigas e não resolvidas, para que os oficiais de compras e a administração dos contratados possam agir mais rapidamente.
- Fortalecer a forma como avalia e monitora as práticas de cibersegurança dos contratados no futuro.
Esses são compromissos razoáveis, e vale a pena reconhecer quando uma agência responde a um relatório de órgão fiscalizador de forma construtiva. Mas "comprometeu-se a corrigir" e "corrigido" são estados diferentes, e os próprios números do TIGTA mostram o quanto pode escapar entre um ciclo de revisão anual e um problema real que fica sem solução por meses.
O que Você Pode Realmente Fazer a Respeito
Você não pode controlar como um contratado terceirizado protege sua instalação. Mas você não está indefeso — existem medidas concretas que reduzem sua exposição, independentemente da causa.
Obtenha um PIN de Proteção de Identidade do IRS (IP PIN). Esta é a ferramenta gratuita mais eficaz disponível para contribuintes individuais. É um código de seis dígitos que muda anualmente e deve ser incluído em qualquer declaração de imposto apresentada sob seu número de Seguro Social — sem ele, o IRS rejeitará uma declaração eletrônica e marcará uma declaração em papel para escrutínio extra. Isso significa que, mesmo que alguém tenha seu SSN, não poderá apresentar com sucesso uma declaração fraudulenta em seu nome. Você pode se inscrever por meio de sua conta online do IRS e, uma vez inscrito, o IRS emite automaticamente um novo PIN a cada temporada de declaração. Se suas informações estiveram envolvidas em qualquer violação — esta ou outra — vale a pena fazer isso hoje, não na próxima temporada de impostos.
Declare cedo no próximo ano. Esquemas de reembolso fraudulento dependem de superar o contribuinte real. Quanto mais cedo você declarar, menor a janela que um criminoso tem para declarar primeiro usando informações roubadas.
Acompanhe sua transcrição e conta do IRS, não apenas seus extratos bancários. A maioria das pessoas monitora suas contas bancárias e de cartão de crédito em busca de fraudes, mas nunca verifica sua conta online do IRS. O roubo de identidade relacionado a impostos geralmente aparece primeiro como uma rejeição de declaração eletrônica (porque alguém já declarou usando seu SSN) ou um aviso inesperado sobre uma declaração que você não apresentou. Verificar periodicamente detecta problemas antes que eles se agravem.
Considere se você precisa declarar em papel. Se você atualmente apresenta declarações em papel por escolha ou hábito, este é um momento razoável para reconsiderar. As declarações eletrônicas passam por pipelines eletrônicos controlados pelo IRS, em vez de serem fisicamente enviadas a uma instalação de digitalização terceirizada. Para a maioria dos contribuintes individuais, a declaração eletrônica é mais rápida, tem uma taxa de erro menor e — de acordo com este relatório — atualmente tem uma superfície de ataque mais estreita do que o caminho em papel.
Se você usa um preparador ou contador, pergunte como eles transmitem seus dados. O mesmo princípio que se aplica aos contratados do IRS se aplica a qualquer terceiro que lide com seus registros financeiros: segurança física e cadência de correções não são preocupações abstratas de TI — são o mecanismo real que protege seu número de Seguro Social.
A Lição Maior: As Cadeias de Custódia de Dados São Mais Longas do Que Você Pensa
A conclusão desconfortável deste relatório não é realmente sobre o IRS especificamente — é um lembrete de quantas mãos seus dados financeiros passam antes de serem "processados". Uma declaração de imposto em papel não vai diretamente de sua caixa de correio para um banco de dados governamental. Ela vai para o depósito de um contratado privado, é manuseada por funcionários cujo acesso precisa ser auditado, permanece em sistemas que precisam de correções em um cronograma e só então chega à agência com a qual você realmente declarou. Cada elo nessa cadeia é um lugar onde os controles podem falhar.
Isso é verdade para pessoas físicas que declaram 1040, e é igualmente verdade para pequenas empresas e freelancers que gerenciam sua própria contabilidade. Quanto menos intermediários tocarem seus dados financeiros brutos, e quanto mais visibilidade você tiver sobre exatamente onde seus registros residem e como eles se movem, menor será sua exposição. Isso faz parte do argumento a favor de ferramentas que mantêm seus registros financeiros em um formato que você controla diretamente, em vez de confiá-los inteiramente a sistemas terceiros opacos e torcer para que as conclusões das auditorias permaneçam limpas.
Mantenha Seus Registros Financeiros Sob Seu Próprio Controle
Relatórios de órgãos fiscalizadores como este são um lembrete útil de que a segurança de dados financeiros não envolve apenas senhas fortes — trata-se de quantas mãos seus registros passam e quanta visibilidade você tem em cada uma delas. Beancount.io oferece contabilidade em texto simples que mantém seus dados financeiros transparentes e com controle de versão em seus próprios termos, sem armazenamento terceirizado em caixa-preta no meio. Comece gratuitamente e veja por que desenvolvedores e indivíduos conscientes financeiramente estão migrando para sistemas de contabilidade que eles mesmos podem auditar.