Keď vám ukradnú EIN: Sprievodca pre malé podniky listami IRS 5263C, 6042C a podnikovou krádežou identity

Vaše identifikačné číslo zamestnávateľa je kľúčom k finančnej identite vášho podniku – a zlodeji to vedia. V roku 2025 FTC zaznamenala viac ako 1,35 milióna sťažností na krádež identity, čo je nárast takmer o 20 % oproti predchádzajúcemu roku, a podvodné podávanie daňových priznaní podnikov zostáva jedným z najrýchlejšie rastúcich segmentov. Možno v utorok pokojne odsúhlasujete svoje účtovníctvo, keď vám z Ogdenu v Utahu príde obálka: list 5263C alebo list 6042C. Žiada vás o overenie informácií o entite, ktorú možno nepoznáte, alebo o potvrdenie údajov na priznaní, ktoré ste nikdy nepodali. Vaším prvým inštinktom môže byť odložiť si ho ako byrokratický omyl. Nerobte to.

Tento list je často najskorším signálom, že niekto použil – alebo sa pokúsil použiť – váš EIN na podanie podvodného daňového priznania, uplatnenie falošnej refundácie alebo vydávanie sa za váš podnik voči veriteľom a dodávateľom. Ako rýchlo a presne zareagujete, môže rozhodnúť o tom, či strávite týždne rozmotávaním chaosu alebo mesiace naháňaním stále aktívneho podvodu.

Táto príručka vysvetľuje, ako podniková krádež identity naozaj vyzerá, čo tie listy IRS znamenajú, presné kroky, ktoré treba urobiť v 30-dňovej lehote, a účtovné návyky, ktoré z vás urobia ťažší cieľ.

Čo je podniková krádež identity naozaj​

Podniková krádež identity nastane, keď niekto bez oprávnenia vytvorí, použije alebo sa pokúsi použiť identifikačné informácie podniku na získanie daňových výhod. Definícia IRS je užšia ako bežný zmysel krádeže identity, ale praktická škoda je široká.

Typické vzory zahŕňajú:

• Podanie podvodného daňového priznania podniku na uplatnenie vratných kreditov alebo na vytvorenie falošného K-1, ktoré podporuje schému krádeže identity jednotlivca.
• Unesenie existujúceho EIN na podávanie mzdových alebo spotrebných priznaní, otváranie úverových liniek alebo prechádzanie overovacích kontrol dodávateľov.
• Vytvorenie fiktívnej entity s ukradnutým menom zodpovednej osoby a číslom SSN na vrstvenie podvodov, ktoré je pre automatické filtre ťažšie odhaliť.

Na rozdiel od krádeže identity jednotlivca neexistuje jediný spotrebiteľský úverový súbor, ktorý by zachytil celý obraz. Podnik má EIN, štátne registračné záznamy, súbory Dun & Bradstreet a iné podnikové úverové súbory, bankové účty a daňové účty, ktoré spolu nerozprávajú v reálnom čase. Túto fragmentáciu zlodeji využívajú – a preto potrebujete monitorovanie na viac ako jednom mieste.

Ako zlodeji získajú váš EIN a podnikové údaje​

Váš EIN nie je tajný tak, ako by malo byť SSN. Objavuje sa na formulároch W-9, ktoré posielate klientom, na faktúrach, v bankových dokumentoch a v štátnych podaniach, ktoré sú často verejným záznamom. Zlodeji to kombinujú s inými odhalenými údajmi:

• Phishing a kompromitácia podnikového e-mailu. Jediný zamestnanec, ktorý klikne na falošný e-mail od IRS alebo dodávateľa, môže exfiltrovať W-2, W-9 a bankové listy. FBI konzistentne zaraďuje kompromitáciu podnikového e-mailu medzi najdrahšie kyberzločiny pre malé podniky.
• Úniky údajov u dodávateľov alebo poskytovateľov miezd. Identity Theft Resource Center zaznamenala rekordných 3 322 únikov údajov v roku 2025; prvá polovica roku 2026 už smeruje k prekročeniu tohto čísla. Každý únik, ktorý obsahuje EIN, SSN zodpovednej osoby alebo podnikovú adresu, obohacuje inventár, s ktorým zlodeji obchodujú.
• Sťahovanie z verejných záznamov. Webové stránky ministerstva vnútra štátu, okresné podania a dokonca aj tímová stránka na vašej vlastnej webovej stránke dávajú zlodejom mená funkcionárov, adresy a dátumy založenia, vďaka ktorým vyzerá podvodná žiadosť SS-4 legitímne.
• Ukradnutá pošta alebo nezabezpečené zdieľanie súborov. Posielanie prázdneho W-9 ako nezašifrovaného PDF, ukladanie listov EIN v neuzamknutej kartotéke alebo nechávanie pošty v neuzamknutej schránke sú nízkotechnologické, ale bežné vektory.

Bezpečnostný summit IRS – spoločný program IRS, štátnych daňových agentúr a daňového softvérového priemyslu – pridal autentifikačné otázky do softvéru na prípravu podnikových daňových priznaní a back-endové filtre, ktoré označujú podozrivé podania. Tieto filtre fungujú: IRS oznámil, že v rokoch 2024 a 2025 zabránil podvodným refundáciám v hodnote približne 7 miliárd dolárov. Ale filtrované priznania často spúšťajú práve tie listy, ktoré táto príručka pokrýva, a preto ich legitímne podniky vidia čoraz častejšie.

Varovné signály, ktoré by ste nikdy nemali ignorovať​

Podnikovú krádež identity je ťažšie odhaliť ako krádež identity jednotlivca, pretože mnohé z jej skorých indikátorov vyzerajú aj ako bežné chyby spracovania. IRS je výslovný v tom, že jediný varovný signál automaticky neznamená krádež – prehodené čísla a problémy s načasovaním môžu napodobniť podvod. Hľadajte vzorec.

Daňové varovné signály​

Buďte ostražití, ak zaznamenáte niektorý z týchto príznakov:

• Nemôžete podať elektronické daňové priznanie, pretože systém hlási, že priznanie s vašim EIN už bolo za toto obdobie podané.
• Žiadosť o predĺženie (formulár 7004) je zamietnutá ako duplicitné podanie – vy ste ešte nepodali, ale IRS si myslí, že áno.
• Dostanete neočakávané oznámenie alebo výpis od IRS, ktoré nezodpovedá ničomu, čo ste predložili – napríklad oznámenie o zamestnancoch, ktorých ste nikdy nezamestnali, nedoplatok na uzavretej alebo neaktívnej entite, alebo oznámenie CP odkazujúce na mzdy, ktoré ste nikdy nevyplatili.
• Dostanete list 5263C alebo list 6042C – dva najbežnejšie overovacie listy pre podniky (viac nižšie).
• Bežná korešpondencia s IRS prestane prichádzať, pretože adresa podniku v evidencii bola zmenená bez vášho oprávnenia.
• Priznanie je prijaté ako dodatočné priznanie, aj keď ste za daný rok nikdy nepodali pôvodné.

Nedaňové varovné signály​

Okamžite ich nahláste Federálnej obchodnej komisii (FTC) a svojim finančným inštitúciám, aj keď sa zatiaľ neobjavil žiadny daňový problém:

• Účty za podnikové úverové linky alebo kreditné karty, ktoré ste nikdy neotvorili.
• Podniková úverová správa zobrazujúca účty, ktoré ste neautorizovali.
• Nevysvetliteľné bankové výbery alebo chýbajúca očakávaná pošta.
• Oznámenie od spoločnosti, s ktorou obchodujete, že vaše informácie boli kompromitované.

Ak sa daňové a nedaňové indikátory objavia spolu, eskalujte rýchlo – okno, v ktorom môže zlodej využiť ukradnutý EIN, je často len niekoľko týždňov, kým sa presunie ďalej.

Dekódovanie listov IRS 5263C, 6042C a 6217C​

Tieto listy pochádzajú z procesu overovania podnikov IRS. Nie sú to podvody, ale aj tak by ste mali overiť akýkoľvek kontakt pomocou telefónneho čísla vytlačeného na liste, nie čísla z e-mailu alebo textovej správy. IRS nikdy neiniciuje kontakt e-mailom, textovou správou alebo cez sociálne médiá, aby si vyžiadal osobné informácie, a nikdy nevyhráža sa súdnymi spormi alebo zatknutím po telefóne.

Čo každý list znamená​

• List 6042C – „Potrebujeme informácie na overenie priznania.“ IRS identifikoval daňové priznanie podniku, ktoré je potenciálne podvodné, a žiada o ďalšie informácie pred dokončením spracovania tohto priznania. Myslite na to ako na overenie na úrovni priznania.
• List 5263C – „Potrebujeme informácie na overenie entity.“ IRS potrebuje overiť informácie uvedené vo formulári SS-4, žiadosti, ktorá vytvorila váš EIN. Toto často pramení z neaktuálnych alebo nesprávnych informácií o zodpovednej osobe. Myslite na to ako na overenie na úrovni entity.
• List 6217C je blízky príbuzný, tiež žiada o ďalšie informácie o entite. Ak oznámenie hovorí, že informácie o EIN v evidencii sú nesprávne, riešenie je rovnaké.

Prečo je rozdiel dôležitý: 6042C zvyčajne pozastaví konkrétne priznanie a akúkoľvek refundáciu alebo žiadosť o preplatok s ním spojenú, zatiaľ čo 5263C signalizuje, že základný záznam IRS o tom, kto kontroluje entitu, môže byť nesprávny – čo ovplyvní každé budúce podanie, kým sa neopraví. Oba vyžadujú odpoveď v rámci uvedenej lehoty, zvyčajne 30 dní od dátumu na liste.

Prečo by ste ho mohli dostať, aj keď ste neboli napadnutí​

IRS hovorí, že údaje o zodpovedných osobách sú v jeho hlavnom súbore podnikov často neaktuálne alebo nepresné. Ak ste pred piatimi rokmi založili LLC, uviedli partnera ako zodpovednú osobu a neskôr ste ho vykúpili bez podania formulára 8822-B, IRS stále ukazuje bývalého partnera. Bežná krížová kontrola potom môže vygenerovať 5263C. Podobne jednoduchá zámena čísla na mzdovom priznaní môže spustiť filter, ktorý vyzerá presne ako podvod s duplicitnou entitou.

Preto list sám žiada, aby ste kladne odpovedali, či ste spojení s entitou – je navrhnutý na rozlíšenie administratívneho driftu od skutočnej krádeže.

Čo robiť do 30 dní od doručenia listu​

Berte 30-dňovú lehotu ako záväznú. Nereagovanie oneskorí spracovanie priznaní, ktoré podáte, vydanie refundácií alebo použitie preplatkov na budúcoročné preddavky na daň. Fax je najrýchlejší; IRS poskytuje faxové číslo na liste. Ak posielate fax, neposielajte rovnakú odpoveď aj poštou.

Ak ste alebo ste boli spojení s entitou​

1. Odpovedzte na každú otázku na liste a poskytnite presne to, čo sa žiada. Nepridávajte zbytočné vysvetlenia; riadte sa kontrolným zoznamom.
2. V prípade pozostalosti priložte kópiu úmrtného listu zosnulej osoby.
3. V prípade trustu priložte kópiu Osvedčenia o truste alebo názov a dokončené podpisové strany z dokumentov trustu.
4. Pošlite fax na číslo uvedené na liste pomocou zariadenia alebo online faxovej služby, ktorej dôverujete – pred nahratím citlivých dokumentov si prečítajte zásady ochrany súkromia a bezpečnosti tejto služby. Potom si ponechajte potvrdenie o prenose.
5. Ak sa zodpovedná osoba zmenila od vydania EIN, tiež podajte formulár 8822-B, Zmena adresy alebo zodpovednej osoby – Podnik. Predpisy IRS vyžadujú, aby držitelia EIN aktualizovali informácie o zodpovednej osobe do 60 dní od akejkoľvek zmeny. Zodpovednou osobou musí byť jednotlivec, ktorý kontroluje, riadi alebo usmerňuje entitu a nakladanie s jej finančnými prostriedkami a aktívami – nie iná entita. Ak existuje viac oprávnených jednotlivcov, môžete uviesť toho, ktorého chcete, aby IRS uznal.

Ak nie ste spojení s entitou alebo nie ste zodpovednou osobou​

1. Vyberte vyhlásenie na liste označujúce žiadne spojenie, uveďte svoje meno a vráťte list do 30 dní.
2. Podajte policajnú správu na miestnom oddelení a ponechajte si kópiu – číslo správy môžete potrebovať pre banky, úverové kancelárie a IRS.
3. Okamžite informujte IRS pomocou kontaktných informácií na liste, ak si myslíte, že niekto podvodne použil váš EIN, aj keď ste zaškrtli políčko „žiadne spojenie“.

Po vašej odpovedi vás IRS znova kontaktuje poštou len vtedy, ak bude potrebných viac informácií. Ak nepočujete nič, žiadna ďalšia akcia sa nevyžaduje – ale pokračujte v monitorovaní.

Kompletný kontrolný zoznam reakcie nad rámec listu​

Overovací list často nie je jediným miestom, kde sa podvod objaví. Použite ho ako spúšťač na širší prieskum.

1. Okamžite odpovedzte na každé oznámenie IRS​

Použite kontaktné informácie na samotnom oznámení. Nevolejte na číslo nájdené cez webové vyhľadávanie pre daný typ oznámenia – zhodujte sa s hlavičkou listu. Ponechajte si kópie všetkého, čo pošlete, a odpoveďových obálok IRS.

2. Podajte správu orgánom činným v trestnom konaní​

Policajná správa vytvorí oficiálny záznam s číslom prípadu, ktoré môžu banky, vydavatelia kariet a IRS požadovať. Prineste list IRS, úradný doklad totožnosti a dôkaz, že kontrolujete podnik (zakladateľská zmluva, prevádzková zmluva alebo potvrdzovací list EIN CP 575).

3. Skontrolujte registračný záznam podniku​

Vyhľadajte na portáli obchodných entít ministerstva vnútra vášho štátu každý aktívny a uzavretý podnik pod vaším menom. Hľadajte neočakávané dodatky – zmeny adresy, nových registrovaných agentov alebo pridania funkcionárov, ktoré ste neautorizovali. Vráťte neautorizované zmeny prostredníctvom procesu opravy štátu a tam, kde je to dostupné, sa prihláste na odber upozornení štátu na budúce podania.

4. Získajte a monitorujte úverové správy​

• Podnikový úver: Preštudujte si správy Dun & Bradstreet, Experian Business a Equifax Business kvôli novým obchodným linkám alebo dotazom.
• Osobný úver (pre zodpovednú osobu): Máte nárok na bezplatnú týždennú správu cez AnnualCreditReport.com. Zvážte umiestnenie jednoročného prvotného podvodného upozornenia kontaktovaním ktoréhokoľvek z troch celoštátnych úradov – ten, ktorý kontaktujete, musí informovať ostatné dva. Môžete tiež požiadať o bezpečnostné zmrazenie od každého úradu jednotlivo, ak chcete prísnejšiu kontrolu.

Kontaktné čísla, ktoré si mnohí majitelia ukladajú: Equifax 800-525-6285, Experian 888-397-3742, TransUnion 800-916-8800. Pred zdieľaním citlivých údajov si overte aktuálne čísla na oficiálnych stránkach úradov.

5. Odsúhlaste každý výpis z účtu v deň, keď príde​

Okamžite otvorte bankové, kartové, mzdové a obchodnícke výpisy. Priraďte každú transakciu k zdrojovým dokumentom a označte neznámych príjemcov, duplicitné mená dodávateľov s miernymi zmenami v pravopise alebo malé testovacie poplatky, ktoré často predchádzajú väčšiemu podvodu.

6. Zatvorte kompromitované účty a vymeňte poverenia​

Zatvorte každý účet otvorený alebo zmanipulovaný bez povolenia. Zmeňte heslá pre e-mail, bankovníctvo, mzdy a daňový softvér – použite správcu hesiel, heslové frázy a viacfaktorové overenie, kdekoľvek je k dispozícii. Zašifrujte citlivé súbory a e-mailové prílohy a obmedzte prístup len na zamestnancov, ktorí to naozaj potrebujú.

7. Podajte sťažnosť na FTC​

IdentityTheft.gov od FTC vás prevedie plánom obnovy a vygeneruje predvyplnené listy, ktoré môžete poslať veriteľom. IRS tiež presmerúva nedaňové hlásenia o krádeži identity na túto stránku.

8. Aktualizujte bezpečnostný softvér a preškoľte tím​

Zaistite, aby sa antivírusové a antimalvérové nástroje aktualizovali automaticky, zapnite ochranu firewallu, zálohujte údaje na bezpečné externé miesto odpojené od vašej siete a bezpečne zlikvidujte staré disky a tlačiarne obsahujúce citlivé údaje. Zdieľajte publikáciu IRS 4524 (Bezpečnostné povedomie pre daňovníkov) a poučte tím o phishingu – nikdy neotvárajte prílohy od neznámych odosielateľov, overujte požiadavky telefonicky na známom čísle a oddeľujte osobné a podnikové e-mailové účty.

Udržiavanie EIN aktuálneho a bezpečného – účtovný návyk​

Najvyhnuteľnejšia príčina listu 5263C sú neaktuálne údaje o zodpovednej osobe. Urobte údržbu EIN súčasťou vášho pravidelného procesu uzávierky, nie jednorazového podania.

Majte formulár 8822-B na kontrolnom zozname​

Podajte formulár 8822-B do 60 dní vždy, keď:

• Zmení sa zodpovedná osoba (predaj podniku, vykúpenie partnera, nový konateľ, zmena zriaďovateľa trustu, zmena osobného zástupcu pozostalosti).
• Zmení sa poštová adresa podniku.
• Zmení sa miesto podnikania, ak by tam mala smerovať daňová korešpondencia.

Uložte podaný formulár a potvrdenie IRS spolu s listom EIN (CP 575 alebo 147C) na bezpečné, zálohované miesto. Ak už EIN nepotrebujete, formálne zatvorte účet IRS – nevyužitý EIN, ktorý zostáva aktívny, je stálou pozvánkou na zneužitie.

Spevnite, ako narábate s formulármi W-9 a listami EIN​

• Posielajte W-9 len cez heslam chránené, šifrované kanály a potvrďte prijatie telefonicky.
• Nikdy nezverejňujte svoj EIN na webovej stránke alebo sociálnych médiách.
• Uchovávajte listy CP 575 / 147C v šifrovanom trezore, nie v otvorených cloudových priečinkoch.
• Zaznamenávajte každú stranu, ktorej zverejníte EIN, dátum a účel – budúce vy budete vďačné, keď budete potrebovať vystopovať únik.

Vytvorte plán kybernetickej bezpečnosti, ktorý skutočne dodržíte​

Nepotrebujete podnikový rozpočet. Publikácia IRS 4557, Ochrana údajov daňovníkov, plus príručka FTC Začnite s bezpečnosťou a Informačná bezpečnosť pre malé podniky – Základy od NIST poskytujú malým podnikom kompletné rámce. Minimálne zdokumentujte, kto má prístup k akým údajom, ako šifrujete a zálohujete citlivé súbory, vaše kroky reakcie na incident a dátum ročného preskúmania.

Ako sa IRS snaží chrániť podnikových podávateľov​

Vedieť, čo sa deje v pozadí, vám pomôže správne interpretovať listy:

• Filtre a listy. Keď IRS a jeho partneri z Bezpečnostného summitu identifikujú potenciálne podvodné priznanie podniku, IRS pozastaví spracovanie a vydá overovací list, kým sa priznanie posunie ďalej. To robia listy 6042C a 5263C svoju prácu.
• Extra autentifikácia v softvéri. Softvér na prípravu daňových priznaní podnikov teraz žiada prípravcov o sériu otázok na overenie platnosti priznania. Odpovedajte na ne starostlivo – nezrovnalosti môžu spustiť ďalšie kolo overovania.
• Žiadne odchádzajúce e-maily alebo textové správy. Ak dostanete e-mail alebo textovú správu, ktorá tvrdí, že je od IRS a žiada váš IP PIN alebo podnikové informácie, prepošlite ju na [email protected] a zmažte.

Čo sa stane po vašej odpovedi​

IRS hovorí, že po poskytnutí odpovede vás bude kontaktovať poštou len vtedy, ak bude potrebných viac informácií. Inak sa nevyžaduje žiadna ďalšia akcia. V praxi:

• Ponechajte si faxový prenosový list alebo potvrdenie o doporučenom liste.
• Naplánujte si 45 dní dopredu, aby ste skontrolovali, či očakávaná korešpondencia IRS (refundácia, oznámenie o zmene účtu alebo potvrdenie) príde podľa očakávania.
• Ak ste formulár 8822-B podali samostatne, sledujte potvrdzovací list IRS a odsúhlaste ho so svojimi záznamami.

Ak už bolo podvodné priznanie spracované, riešenie trvá dlhšie. Možno budete musieť spolupracovať s procesom čestného vyhlásenia o podnikovej krádeži identity IRS, preukázať legitímne priznanie a koordinovať sa so štátnou daňovou agentúrou – ponechajte si jeden priečinok s každou korešpondenciou, datovanou a naskenovanou.

Jednoduchý monitorovací režim, ktorý zachytí problémy včas​

Nemusíte sa stať analytikom podvodov na plný úväzok. Štvrťročný režim naviazaný na vašu existujúcu uzávierku stačí:

Mesačne (počas uzávierky):

• Plne odsúhlaste bankové a kartové účty – nekontrolujte len konečný zostatok.
• Skontrolujte daňový účet podniku IRS kvôli neočakávaným podaniam alebo zmenám zostatkov.
• Potvrďte, že sa nezmenila adresa podniku a zodpovedná osoba v evidencii.

Štvrťročne:

• Vytiahnite si jednu podnikovú úverovú správu na rotácii (D&B, Experian, Equifax).
• Skontrolujte záznam entity na ministerstve vnútra kvôli dodatkom.
• Prehodnoťte, kto má prístup k účtovnému softvéru, a zrušte neaktívnych používateľov.

Ročne:

• Vytiahnite si cyklus osobnej úverovej správy zodpovednej osoby.
• Prehodnoťte a aktualizujte písomný plán kybernetickej bezpečnosti.
• Vyčistite a bezpečne zlikvidujte záznamy po uplynutí doby uchovávania – čím menej uchovávate, tým menej je čo ukradnúť.

Podniky, ktoré sa najrýchlejšie zotavia z krádeže identity, nie sú tie s najsofistikovanejšími nástrojmi; sú to tie, ktorých knihy sú aktuálne, ktorých záznamy EIN zodpovedajú realite a ktorých majitelia si všimnú, keď niečo nesedí.

Zjednodušte svoje finančné riadenie​

Včasné odhalenie podnikovej krádeže identity spočíva v rovnakej disciplíne, ktorá robí mesačnú uzávierku bezbolestnou: aktuálne záznamy, odsúhlasené účty a jasná kontrola nad tým, kto môže vidieť a presúvať peniaze. Keď sú vaše knihy presné každý týždeň – nielen v čase daní – neočakávané oznámenie IRS, zmenená adresa alebo poplatok, ktorý ste neautorizovali, okamžite vynikne namiesto toho, aby sa skrýval v nedodělkoch.

Beancount.io vám poskytuje účtovníctvo v čistom texte s kontrolou verzií, ktoré robí každú transakciu transparentnou a vysledovateľnou. Žiadne čierne skrinky, žiadne viazanie na dodávateľa – len hlavná kniha, ktorú plne kontrolujete a môžete audítovať podľa vlastného harmonogramu. Začnite zadarmo a vytvorte si súbor kníh, ktorý chráni váš podnik rovnako dobre, ako o ňom podáva správy.