你的雇主识别号（EIN）是你企业财务身份的关键——而窃贼知道这一点。2025年，联邦贸易委员会（FTC）接到了超过135万起身份盗窃投诉，比上一年增长了近20%，而企业申报欺诈仍是增长最快的类别之一。你可能正在一个平静的周二核对账簿，突然收到一封来自犹他州奥格登的信：信件5263C或6042C。它要求你验证一个你可能不认识实体的信息，或确认一份你从未提交过的申报表。你的第一反应可能是把它当作官僚失误扔掉。千万别。
那封信往往是有人使用——或试图使用——你的EIN提交欺诈性纳税申报表、骗取虚假退税，或冒充你的企业向贷款方和供应商行骗的最早信号。你回应的速度和准确性，决定了你是花几周理清乱局，还是花几个月追查仍在持续的欺诈。
本指南解释了企业身份盗窃实际上是什么样子、那些IRS信件意味着什么、在30天期限内应采取的确切步骤，以及哪些簿记习惯能让你从一开始就更难成为目标。
企业身份盗窃到底是什么
企业身份盗窃是指有人未经授权，使用、创建或试图使用企业的身份信息以获取税收利益。IRS的定义比日常所说的身份盗窃更窄，但实际损害范围却很广。
典型模式包括：
- 提交欺诈性企业纳税申报表，以申请可退还抵免或生成虚假的K-1表格，支持个人身份盗窃计划。
- 劫持现有的EIN，以提交工资税或消费税申报表、开设信用额度，或通过供应商验证。
- 利用盗来的负责人姓名和社会安全号码（SSN）创建空壳实体，以层层掩盖欺诈行为，使自动化过滤器更难发现。
与个人身份盗窃不同，没有一个单一的消费者信用档案能捕捉全貌。企业有EIN、州注册记录、邓白氏（Dun & Bradstreet）和其他商业信用档案、银行账户以及税务账户，而这些并不会实时互通。这种分散性正是窃贼利用的漏洞——也是为什么你需要在多个地方进行监控。
窃贼如何获取你的EIN和企业信息
你的EIN并不像SSN那样是保密的。它出现在你发给客户的W-9表格、发票、银行文件以及州备案中，而州备案往往是公开记录。窃贼会将这些信息与其他泄露的数据结合起来：
- 网络钓鱼和企业电子邮件诈骗（BEC）。 一名员工点击了虚假的IRS或供应商电子邮件，就可能导致W-2、W-9和银行信件泄露。联邦调查局（FBI）一直将企业电子邮件诈骗列为小企业损失最严重的网络犯罪之一。
- 供应商或工资服务提供商的数据泄露。 身份盗窃资源中心（Identity Theft Resource Center）追踪到2025年创纪录的3322起数据泄露事件；2026年上半年已经超过这个速度。每一次泄露，只要包含EIN、负责人SSN或企业地址，都会丰富窃贼交易的数据库存。
- 公开记录抓取。 州务卿网站、县级备案，甚至你自己网站上的团队介绍页面，都会为窃贼提供高管姓名、地址和成立日期，使虚假的SS-4申请表看起来真实可信。
- 被盗邮件或不安全的文件共享。 以未加密的PDF发送空白的W-9、将EIN信件存放在未上锁的文件柜中，或将邮件留在未上锁的邮箱里，这些都是低技术但常见的泄露途径。
IRS的“安全峰会”（Security Summit）——由IRS、各州税务机构和税务软件行业联合开展的项目——已在企业报税软件中添加了身份验证问题，并在后台设置了标记可疑申报的过滤器。这些过滤器正在发挥作用：IRS报告称，2024年和2025年共阻止了约70亿美元的欺诈性退税。但被过滤的申报往往会触发本指南所涉及的这封信件，因此越来越多的合法企业也会收到它们。
你绝不应忽视的警告信号
企业身份盗窃比个人身份盗窃更难察觉，因为许多早期迹象看起来也像普通的处理错误。IRS明确表示，单一的危险信号并不自动意味着盗窃——数字颠倒和时机问题可能模仿欺诈。要注意的是模式。
税务方面的危险信号
如果你遇到以下任何情况，请保持警惕：
- 你无法电子申报，因为系统显示你的EIN在该纳税期已经提交过申报表。
- 延期申请（表格7004）被拒绝，被视为重复申报——你还没有申报，但IRS认为你已经申报了。
- 你收到意外的IRS通知或税务记录，与你提交的任何内容都不对应——例如，关于你从未雇用的员工的通知、已关闭或休眠实体的欠税通知，或引用你从未支付过的工资的CP通知。
- 你收到信件5263C或6042C——两种最常见的商业验证信（详见下文）。
- 常规的IRS信件不再送达，因为档案中的企业地址在你不知情的情况下被更改了。
- 一份申报表被接受为修正申报表，但你在该年度从未提交过原始申报表。
非税务方面的危险信号
即使还没有出现税务问题，也要立即向联邦贸易委员会（FTC）和你的金融机构报告以下情况：
- 收到你从未开通过的商业信用额度或信用卡账单。
- 商业信用报告显示有你未授权的账户。
- 银行账户出现无法解释的扣款，或预期邮件丢失。
- 你的业务伙伴通知你，他们的系统中你的信息可能被泄露。
如果税务和非税务迹象同时出现，请迅速升级处理——窃贼利用被盗EIN的时间窗口往往只有几周，之后他们就会转移目标。
解密IRS信件5263C、6042C和6217C
这些信件来自IRS的商业验证流程。它们不是诈骗，但你仍应通过信件上打印的电话号码验证任何联系，而不是通过电子邮件或短信中的号码。IRS绝不会通过电子邮件、短信或社交媒体主动联系你索取个人信息，也绝不会通过电话威胁起诉或逮捕。
每封信的含义
- 信件6042C——“我们需要信息来验证申报表。” IRS已识别出一份可能具有欺诈性的企业申报表，并在完成处理前要求提供额外信息。可以理解为：申报表层面的验证。
- 信件5263C——“我们需要信息来验证实体。” IRS需要验证表格SS-4（创建你EIN的申请表）上报告的信息。这通常源于负责人信息过时或不正确。可以理解为：实体层面的验证。
- 信件6217C 是近亲，同样要求提供额外的实体信息。如果通知说档案中的EIN信息不正确，解决办法是相同的。
为什么区别很重要：6042C通常会暂停一份特定的申报表及其相关的退税或多缴税款申请，而5263C则表明IRS关于谁控制实体的核心记录可能错误——这会影响你未来所有的申报，直到更正为止。两者都要求在通知上注明的期限内（通常为自信上日期起30天）作出回应。
为什么即使你未被攻击也可能收到信件
IRS表示，其商业主档案中关于负责人的数据往往过时或不准确。如果你五年前成立了一家LLC，指定一位合伙人为负责人，后来买断了该合伙人的股份但未提交表格8822-B，IRS档案中显示的仍是前合伙人。一次例行的交叉检查就可能生成5263C信件。同样，工资申报表上一位数的数字颠倒也可能触发过滤器，看起来与重复实体欺诈一模一样。
这就是为什么信件本身会要求你确认是否与该实体有关联——它旨在区分行政疏漏与真正的盗窃。
收到信件后30天内该做什么
将30天的期限视为硬性截止日期。未能回应会延迟你提交的申报表的处理、退税的发放，或将多缴税款用于抵扣下一年度预估税。传真是最快的方式；IRS在信上提供了传真号码。如果你传真了，就不要再邮寄同样的回复。
如果你现在或曾经与该实体有关联
- 回答信上的每一个问题，并只提供其要求的内容。不要添加额外的叙述；按照清单逐项匹配。
- 对于遗产，附上死者死亡证明的副本。
- 对于信托，附上信托证明书，或信托文件中标题页和签署页的副本。
- 传真至信上的号码，使用你信任的传真机或在线传真服务——在上传敏感文件前，请审查该服务的隐私和安全政策。然后保留传输确认页。
- 如果自EIN签发以来负责人已变更，同时提交表格8822-B，企业地址或负责人变更表。IRS法规要求EIN持有者在任何变更发生后60天内更新负责人信息。负责人必须是控制、管理或指导实体及其资金和资产处置的个人——不能是另一个实体。如果有多个符合条件的个人，你可以指定其中任何一位为你希望IRS认可的人。
如果你与该实体无关或不是负责人
- 在信上选择表示无关联的声明，提供你的姓名，并在30天内寄回信件。
- 在当地提交警方报告并保留副本——银行、信用机构和IRS可能会要求提供报案编号。
- 如果你认为有人利用你的EIN进行欺诈，立即通过信上的联系信息通知IRS，即使你勾选了“无关联”选项。
在你回应后，IRS只会通过邮件再次联系你，如果它需要更多信息的话。如果你没有收到任何消息，则无需进一步行动——但请继续保持监控。
超出信件的完整应对清单
一封验证信往往不是欺诈浮出水面的唯一地方。将其作为触发点，进行更广泛的排查。
1. 立即回应每一份IRS通知
使用通知上提供的联系信息。不要拨打通过网络搜索找到的该通知类型的电话号码——以信件抬头的信息为准。保留你发送的所有文件的副本以及IRS的回复信封。
2. 向执法部门提交报告
警方报告会创建一个带有案件编号的官方记录，银行、发卡机构和IRS可能会要求提供。带上IRS信件、政府签发的身份证件，以及你控制企业的证明（公司章程、运营协议或EIN确认信CP 575）。
3. 审查商业注册记录
在你所在州的州务卿商业实体门户网站上，搜索以你名义注册的所有活跃和已关闭的企业。查找意外的修订——地址变更、新的注册代理人，或你未授权的管理人员增加。通过州的更正流程撤销未经授权的更改，并在可用的情况下，订阅该州未来的备案通知服务。
4. 拉取并监控信用报告
- 商业信用： 审查邓白氏、Experian Business和Equifax Business报告，查找新的交易记录或查询。
- 个人信用（针对负责人）： 你有权通过AnnualCreditReport.com每周免费获取一份报告。考虑通过联系三大全国性信用机构中的任何一家，放置为期一年的初始欺诈警报——你联系的那家必须通知其他两家。如果你希望更严格的控制，也可以单独向每家机构请求安全冻结。
许多企业主会保留的联系电话：Equifax 800-525-6285，Experian 888-397-3742，TransUnion 800-916-8800。在共享敏感数据前，请在各机构的官方网站上确认为当前号码。
5. 在每份账单到达当天进行核对
立即打开银行、信用卡、工资和商户对账单。将每笔交易与原始凭证匹配，并标记未知收款人、拼写略有变化的重复供应商名称，或通常预示更大欺诈的小额测试扣款。
6. 关闭被入侵的账户并轮换凭证
关闭任何未经许可开设或被篡改的账户。更改电子邮件、银行、工资和税务软件的密码——使用密码管理器、长密码短语，并在可用之处启用多因素身份验证。加密敏感文件和电子邮件附件，并限制访问权限，仅限真正需要的员工。
7. 向FTC提交投诉
FTC的IdentityTheft.gov会引导你制定恢复计划，并生成可发送给债权人的预填信函。IRS也引导非税务身份盗窃报告前往该网站。
8. 更新安全软件并培训团队
确保防病毒和反恶意软件工具自动更新，启用防火墙保护，将数据备份到与网络断开连接的安全外部存储设备，并安全销毁含有敏感数据的旧硬盘和打印机。分享IRS出版物4524（纳税人的安全意识），并向团队简要介绍网络钓鱼——绝不打开未知发件人的附件，使用已知号码通过电话核实请求，并保持个人和企业电子邮件账户分开。
保持你的EIN最新和安全——一种簿记习惯
最容易避免的5263C触发原因是负责人数据过时。将EIN维护纳入你的常规结账流程，而不是一次性备案。
将表格8822-B列入你的清单
在以下情况下，在60天内提交表格8822-B：
- 负责人变更（企业出售、合伙人买断、新管理成员、信托委托人变更、遗产个人代表变更）。
- 企业邮寄地址变更。
- 企业所在地变更（如果这是税务信件应寄往的地方）。
将已提交的表格和IRS确认函与你的EIN信（CP 575或147C）一起，存放在安全且有备份的位置。如果你不再需要EIN，请正式关闭IRS账户——一个仍然活跃但未使用的EIN是邀请滥用的常驻邀请函。
加固你处理W-9和EIN信件的方式
- 仅通过受密码保护且加密的渠道发送W-9，并通过电话确认收到。
- 绝不在你的网站或社交媒体上发布你的EIN。
- 将CP 575 / 147C信存放在加密的保险库中，而不是开放云文件夹中。
- 记录你向其披露EIN的每一方、日期和目的——当你需要追踪泄露时，未来的你会感谢现在的你。
制定一个你真正会遵循的数据安全计划
你不需要企业级预算。IRS出版物4557（保护纳税人数据）、FTC的《以安全为起点》指南以及NIST的《小企业信息安全——基础》为小企业提供了完整框架。至少，记录谁有权访问哪些数据、你如何加密和备份敏感文件、你的事件响应步骤以及年度审查日期。
IRS如何努力保护企业申报者
了解幕后情况有助于你正确解读这些信件：
- 过滤器和信件。 当IRS及其安全峰会合作伙伴识别出可能具有欺诈性的企业相关申报表时，IRS会暂停处理，并在申报表继续之前发出验证信。这就是信件6042C和5263C在履行职责。
- 软件中的额外身份验证。 企业报税软件现在会向准备者提出一系列问题，以验证申报表的真实性。请仔细回答——不一致可能触发另一轮验证。
- 不会主动通过电子邮件或短信提出请求。 如果你收到声称是IRS的电子邮件或短信，要求提供你的IP PIN或企业信息，请将其转发至[email protected]并删除。
你回应后会发生什么
IRS表示，在你提供回应后，它只会通过邮件联系你，如果它需要更多信息的话。否则，无需其他行动。实际上：
- 保留传真传输页或挂号信收据。
- 在日历上标记45天后，检查预期的IRS信件（退税、账户变更通知或确认）是否如期到达。
- 如果你单独提交了表格8822-B，留意IRS的确认信，并将其与你的记录核对。
如果欺诈性申报已被处理，解决过程会更长。你可能需要与IRS的企业身份盗窃宣誓书流程合作，证明合法申报表，并与州税务机构协调——将所有信件放在一个文件夹中，注明日期并扫描。
一个及早发现问题的简单监控例程
你不需要成为全职欺诈分析师。一个与现有结账流程挂钩的季度例程就足够了：
每月（在结账期间）：
- 完全核对银行和信用卡账户——不要只看余额。
- 查看IRS企业税务账户，查找意外的申报或余额变化。
- 确认档案中的企业地址和负责人没有变化。
每季度：
- 轮换拉取一份商业信用报告（D&B、Experian、Equifax）。
- 检查州务卿的实体记录是否有修订。
- 审查谁有权访问会计软件，并撤销不活跃用户。
每年：
- 轮换拉取负责人的个人信用报告周期。
- 审查并更新你的书面数据安全计划。
- 清除并安全销毁超过保留期的记录——存储的越少，可被窃取的就越少。
从身份盗窃中恢复最快的企业，不是拥有最复杂工具的企业，而是账簿保持最新、EIN记录与实际情况相符，并且企业主能注意到对不上账的企业。
简化你的财务管理
及早发现企业身份盗窃，归结于与让月末结账轻松自如的同样纪律：当前记录、已核对的账户，以及对谁能查看和移动资金有明确控制。当你的账簿每周都准确——而不仅仅是在报税季——意外的IRS通知、地址变更或你未授权的扣款就会立即凸显出来，而不是隐藏在积压中。
Beancount.io为你提供纯文本、版本控制的会计，让每笔交易透明且可追踪。没有黑匣子，没有供应商锁定——只有你完全控制并能按自己的时间表审计的账本。免费开始，建立一套既能保护你企业，又能报告其状况的账簿。