美国国税局与安全峰会呼吁加强防范税务身份盗窃

摘要

美国国税局（IRS）与"安全峰会"（Security Summit）合作方敦促纳税人及税务专业人士加强防范与税务相关的身份盗窃，这是"保护客户、保护自己"夏季系列宣传的第四部分（IR-2026-106，2026 年 9 月 4 日）。要点包括多因素认证（MFA）、身份保护 PIN（IP PIN）及安全的 IRS 在线账户。根据美国联邦贸易委员会（FTC）的 Safeguards 规则，税务申报公司必须使用 MFA 保护客户信息的访问，除非经具备资质的人员书面批准等效的安全访问控制；该要求适用于所有规模的事务所。IP PIN 为六位数字，有效期为一个日历年、每年重新生成，用于帮助 IRS 在申报时核实纳税人身份；纳税人须自行申请，税务专业人士不能代为领取。另一份公告（IR-2026-92，2026 年 8 月 18 日）提醒税务专业人士，联邦法律——经 FTC Safeguards 规则落实的《格拉姆-里奇-比利雷法案》——将税务与会计执业机构视为金融机构，必须制定并维护书面的信息安全计划（WISP），并推荐以 IRS 第 5708 号出版物作为模板，尤其适合小型事务所。

出处

• Internal Revenue Service — Security Summit: Strengthen defenses against tax identity theft — https://www.irs.gov/newsroom/security-summit-strengthen-defenses-against-tax-identity-theft
• Internal Revenue Service — IRS, Security Summit remind tax pros they need a Written Information Security Plan to protect client data — https://www.irs.gov/newsroom/irs-security-summit-remind-tax-pros-they-need-a-written-information-security-plan-to-protect-client-data

本所观点

跨境申报者及其服务提供者正处于一个特殊而脆弱的位置：美国的申报义务无法回避，但纳税人往往长期居住在加拿大，涉及的护照、美加两国社会保险号、外国地址等资料恰恰是身份窃贼的目标。无论申报机构设在何处，只要处理美国税表，就须遵守同样的规则——多因素认证、书面安全计划以及数据泄露报告义务（影响 500 人及以上的安全事件一般须在发现后 30 天内向 FTC 报告）都不是可选项。对个人而言，IP PIN 能有效阻止骗子冒名申报；同时应记住，IRS 绝不会通过电话、电邮或短信索要 IP PIN。事务所应在下一个报税季前审视自身防护措施，而有美国关联的纳税人对来路不明的"IRS 通知"也应保持警惕。对通知或疑似泄露有疑问时，请咨询注册会计师（CPA）。

免责声明：本文为一般性信息，不构成税务意见，不应替代专业税务建议。具体情况请咨询持牌注册会计师（CPA）。