“Mi cuenta de impuestos en línea fue pirateada, poniendo mi vida patas arriba. Ahora, estoy demandando a la CRA”

Stephen Real es uno de los miles de canadienses afectados por una brecha de seguridad masiva en 2020. Tres años después, no puede pagar sus impuestos, los estafadores intentan comprar autos a su nombre y recibe más de 20 llamadas de spam al día.

Por Stephen Real, contado a Anthony Milton | Fotografía de Yasin Osman | 8 de junio de 2023

Por Stephen Real, contado a Anthony Milton | Fotografía de Yasin Osman | 08/06/2023

A fines de julio de 2020, los recaudadores de impuestos de Canadá fueron pirateados: un atacante desconocido logró iniciar sesión en miles de cuentas en línea utilizando nombres de usuario y contraseñas robados en otros lugares de la web. Sacaron el premio gordo: números de seguro social, números de teléfono, direcciones, información bancaria: todo lo necesario para asumir la identidad de otra persona, cometer fraude en su nombre y obtener acceso rápido al efectivo del CERB. Ahora, algunas de las víctimas están demandando al gobierno federal en una demanda colectiva, alegando que una falla en el sistema de la Agencia de Ingresos de Canadá permitió a los piratas informáticos eludir las preguntas de seguridad de los usuarios: no se requiere el apellido de soltera de la madre. Si bien la CRA dijo originalmente que solo 5.600 cuentas se vieron afectadas por la infracción, la demanda alega que el número real podría superar las 26.000. Aquí, uno de los demandantes, Stephen Real, un residente de Don Mills West de 66 años y exconsultor de seguridad de TI, nos cuenta sobre años de caos de robo de identidad.

Relacionado:La estafa que reveló el caos y la cultura del fraude en Queens Park

Mi pesadilla comenzó hace tres años, en las primeras horas de la mañana. Eran las 4:03 am del domingo del fin de semana largo de agosto de 2020 cuando sonó mi teléfono en mi mesita de noche. Era un timbre especial que había configurado para correos electrónicos importantes. Este era de la CRA: mi información de depósito directo había sido cambiada. Yo no había hecho eso. Algo extraño estaba pasando.

Llamé a la CRA de inmediato, pero por supuesto nadie estaba trabajando. Así que inicié sesión en mi cuenta de CRA para tratar de averiguar qué estaba pasando. De inmediato, descubrí que la información de depósito de una de mis tres cuentas se había cambiado de mi banco, CIBC, a BMO, un banco que nunca había usado. Empecé a hacer capturas de pantalla.

Confundido, fui a otra parte del portal en línea y encontré un aviso que decía que había solicitado CERB. Eso era imposible: me acababa de jubilar y estaba recibiendo lo último de mi seguro de desempleo, por lo que no era elegible. Además, nunca había solicitado. En una hora, mis otras dos cuentas estaban vinculadas a sucursales de BMO en Mississauga. Tomé más capturas de pantalla. Alguien había pirateado mi cuenta y ahora tenía pruebas.

Pasé el resto del fin de semana llamando a la CRA, dejando mensajes que decían: "¡Oye, me están hackeando!" Cuando finalmente me puse en contacto el martes por la mañana, lo ignoraron y dijeron que alguien me devolvería la llamada. Les tomó hasta el jueves bloquear mi cuenta y decirme que llamara a Equifax, a la unidad de delitos financieros de la policía de Toronto ya la RCMP, cualquier cosa que pudiera hacer para protegerme.

Mientras tanto, decidí ir a investigar por mi cuenta. Visité las sucursales de Mississauga BMO donde, aparentemente, tenía cuentas bancarias. Pensé que diría: "Oye, perdí mi tarjeta bancaria" y seguiría adelante, pero tan pronto como le di mi identificación a la mujer en la recepción, ella dijo: "Oh, tengo que llamar al gerente. " Un minuto después, salió y dijo: "Tenemos que pedirle que se vaya, no podemos discutir este asunto". Me dieron un número de teléfono de su oficina central y me dijeron que denunciara el fraude. Eso fue todo. Estaba solo otra vez.

Se volvió más raro. Mis piratas informáticos habían solicitado dos pagos del CERB mediante depósito directo, ingresando de manera fraudulenta $4000 en las cuentas que habían creado a mi nombre, pero la CRA capturó su tercera solicitud de $2000 antes de que pudiera pagarse. Por alguna razón inexplicable, el sistema por defecto me lo envió por correo. Una semana después del hackeo, me encontré con un cheque CERB que nunca había solicitado. Una vez más llamé a la CRA y de repente me estaban preguntando: "¿Cómo conseguiste ese cheque?" Me sentí como si me estuvieran acusando de ser el estafador.

Después de eso, me llamaron tres empleados diferentes de la CRA, todos diciendo cosas diferentes. Uno dijo que tenía que enviar el cheque a la sede de la CRA en Quebec, así que lo hice por correo certificado. Sé por mi seguimiento que llegó y se firmó, pero incluso ahora, tres años después, la CRA todavía me pregunta dónde terminó.

A mediados de agosto de 2020, los medios comenzaron a informar sobre el ataque y la CRA admitió que había sido causado por una vulnerabilidad en el software de seguridad de la agencia. Dijo que alrededor de 5.600 cuentas podrían haber sido comprometidas. Pero, cuando me puse en contacto con la policía de Toronto, dijeron que su unidad de fraude había recibido más de 2000 llamadas en dos días solo desde Toronto. Parecía que tenía que haber más víctimas de las que afirmaba la CRA.

Relacionado:"Mi hijo fue excluido de la lotería de escuelas alternativas de TDSB. Ahora, estoy iniciando acciones legales".

Un mes después, en septiembre de 2020, recibí una llamada de un concesionario Acura. La mujer al teléfono me preguntó qué vehículo conducía actualmente. Cuando le pregunté por qué, se sorprendió: ¿no acababa de estar en su ubicación de Woodbridge, buscando comprar un Acura 2020? Respondí que no, y ella se dio cuenta. Me dijo que debía denunciar un fraude.

Esa no sería la última vez. Aproximadamente un año después, alguien intentó comprar un Lexus de $65,000 a mi nombre. Desde el hackeo, Equifax bloqueó mi cuenta, así que no estoy seguro de cuántas otras compras se han intentado. Cada vez que compro algo importante, tengo que llamar y decírselo yo mismo.

Durante seis meses, la CRA dejó de comunicarse conmigo por correo electrónico por completo. Eventualmente, comenzaron a enviarme notas pro forma diciéndome que siguiera cambiando mi contraseña y monitoreando mi historial crediticio. Es increíble: su sistema falló y es como si me estuvieran culpando por tener mala seguridad.

En estos días, mi teléfono suena constantemente con llamadas no deseadas. Recibo alrededor de 20 de ellos por día, generalmente a la hora de la cena, diciendo que son de CRA o Visa y necesito la clave de seguridad para mi tarjeta de crédito. Comenzarán siendo profesionales, pero comencé a decir que yo mismo soy de la CRA. En ese momento, jurarán y colgarán. Sé lo que está pasando: los piratas informáticos consiguieron mi número de la CRA y ahora se lo vendieron a los spammers.

El 1 de junio de este año, recibí una llamada telefónica de una mujer que trabajaba para la CRA en Vancouver. Estaba en su celular, en casa. Dijo que tenía que ver una identificación con foto para verificar mi identidad, pero era su primera semana en el trabajo y aún no tenía acceso al sistema interno de la CRA. Todo lo que pudo encontrar fue mi pasaporte. Le pregunté si podíamos hacer una llamada Zoom para que pudiera verme la cara. Ella se negó, porque eso iba en contra de la política. Me preguntó si podía enviarle por fax fotos de mi otra identificación. Me negué, porque eso era ridículo. ¿Quién tiene una máquina de fax?

Finalmente, encontró mi tarjeta Nexus en el archivo y llegamos al meollo de la llamada. Aparentemente, mi caso había sido trasladado entre cuatro o cinco inspectores diferentes en los últimos dos años, quienes se daban por vencidos y se iban antes de que pudieran resolverlo. Ella dijo que la CRA está buscando desbloquear mi cuenta para que pueda pagar mis impuestos del año pasado, pero que aparte de eso, no había nada que pudieran hacer.

En este punto, no estoy seguro de si están haciendo algo. Desde el primer día, he estado pidiendo a alguien que me dé un relato completo de lo que pasó, pero nunca llega. He trabajado en seguridad de TI durante 50 años, no creo que nos estén dando la historia completa. Prefieren culparnos a los contribuyentes por no cambiar nuestras contraseñas.

En octubre de 2022, firmé una demanda colectiva contra el gobierno de Canadá, alegando que la Corona fue negligente al proteger nuestra información en línea. Con suerte, resultará en una compensación por todas las dificultades que he experimentado y hará que el gobierno asuma la responsabilidad por este desastre.

He perdido una gran cantidad de confianza en el gobierno. La implementación de TI está muy mal hecha: primero fue el hackeo que comprometió mi información, luego la aplicación ArriveCAN defectuosa, y luego, solo esta semana, se infiltró en el gobierno de Nueva Escocia, revelando los números de seguro social de 100,000 personas. Múltiples niveles de gobierno han demostrado ser tecnológicamente incompetentes, y la CRA es solo un ejemplo.

Con la excepción de la mujer que me llamó desde su casa, no he sabido nada de la CRA. Cuando llamo, no contestan. Al menos en los viejos tiempos, me mantendrían informado o me enviarían un correo. Ahora, no consigo nada.

Quiero una disculpa. Quiero mis impuestos limpios. Y necesito una nueva identificación. Hasta que consiga uno, seguiré siendo hackeado una y otra vez.

En una declaración a Toronto Life, la CRA dijo que no podía comentar sobre esta historia debido a problemas de privacidad y la demanda en curso. Agregó que la protección de la información de los contribuyentes es de suma importancia y que trabaja con las personas afectadas para tomar medidas de protección rápidas al darse cuenta de posibles incidentes de robo de identidad o violación de cuenta.

Temas: fraude de la CRA demanda por fraude de identidad stephen real identidad robada