El Ministerio de Hacienda anunció que el próximo lunes 13 de junio, a partir de las 8 a.m., estará habilitado los servicios del sistema en línea de la Administración Tributaria Virtual (ATV), con lo cual los contribuyentes y otros obligados tributarios podrán cumplir las obligaciones, empezando las programadas para este mismo mes.
“A partir del lunes a partir de las 8 am el sistema de ATV estará habilitado disponible, así como las diferentes funcionalidades e incluyendo el facturador electrónico”, indicó Nogui Acosta, ministro de Hacienda. “Habrá un procedimiento para las presentaciones de las declaraciones de IVA pendientes desde abril”.
Hacienda también informó que a partir de la próxima semana estará habilitada la posibilidad de pagar el primer tracto del impuesto de la renta y dispuso una ampliación al 16 de agosto para la presentación de la declaración de las sociedades inactivas. Para la declaración de las sociedades inactivas la fecha inicial de plazo era el próximo 15 de junio.
El ATV fue deshabilitado desde hace casi dos meses, cuando el grupo de ciberdelincuentes Conti introdujo un ransomware en los sistemas del Ministerio, extrajo o exfiltró información y encriptó datos, por lo que la institución inició un proceso de limpieza y curación de servidores y computadoras.
Otros sistemas deshabilitados fueron los de Tecnología de Información para el Control Aduanero (TICA), que impactó la actividad de comercio exterior, así como los sistemas de pagos de salarios de funcionarios públicos (lo que produjo problemas en el pago de remuneraciones de los funcionarios del Ministerio de Educación) y de compras públicas.
Las autoridades de Hacienda indicaron que oportunamente se avisará cuando esté disponible el sistema de TICA. “Esperamos que a finales de junio estén todos los servicios”, dijo Acosta.
El hackeo a Hacienda también se extendió a otras 27 entidades, de las cuales nueve fueron las más afectadas. Entre ellas, la Caja Costarricense del Seguro Social sufrió un segundo ataque en menos de dos meses que obligaron a la entidad a recurrir a procedimientos físicos.
El Hacienda sostiene que el hackeo no habría impactado la recaudación. La Tesorería Nacional registra ingresos totales de ¢2,88 billones a mayo de 2022: un 18% más que en el mismo período del año pasado.
Cronograma
El Ministerio indicó que los contribuyentes podrían realizar las declaraciones del Impuesto al Valor Agregado (IVA), pero se requiere que se realice de forma ordenada según el calendario estipulado. Si un usuario tiene problemas con sus contraseñas y claves deberá realizar la recuperación mediante el procedimiento usual.
Mario Ramos, director general de Tributación, indicó que se están dando 20 días hábiles para las declaraciones, pues se pretende hacer un ingreso ordenado ya que son más de 1,2 millones de declaraciones.
El funcionario indicó que las declaraciones de IVA de marzo deberán presentarse entre los próximos 20 y 24 de junio, las de abril entre el 27 de junio y el 1° de julio, y las de mayo entre el 4 y el 8 de julio. Asimismo, los grandes contribuyentes deberán cumplir sus obligaciones entre el próximo 13 y 24 de junio.
| Tipo de contribuyente | Mes a declarar | Fecha de vencimiento original | Nueva fecha de presentación |
|---|---|---|---|
| Grandes contribuyentes nacionales | Marzo, abril y mayo | 15 de abril, 15 de mayo y 15 de junio, respectivamente | Del 13 al 24 de junio de 2022 |
| Todos los demás contribuyentes | Marzo, abril y mayo | 15 de abril, 15 de mayo y 15 de junio, respectivamente | Marzo (del 20 al 24 de junio de 2022), abril (del 27 de junio al 1 de julio de 2022) y mayo (del 04 al 08 de julio de 2022) |
En el caso del pago del primer tracto de renta, Ramos indicó que a partir de la próxima semana también estará disponible la información para que los contribuyentes cancelen a través del procedimiento usual establecido por medio de los bancos autorizados y que se mantiene el plazo al 30 de junio.
Reiteró, además, que las declaraciones de sociedades inactivas se podrán presentar hasta el 16 de agosto, para que tengan tiempo de reunir y cumplir con la información necesaria.
El funcionario recordó que, como parte del plan de contingencia, los contribuyentes emitieron recibos oficiales de pago cuando realizaban ventas de bienes y servicios que ahora deberán actualizarse.
Recomendó tener calma para presentar las obligaciones y reiteró que “hay tiempo”, pues en el caso de las declaraciones y pago del IVA de marzo, abril y mayo no corren intereses. Sobre el facturador electrónico de Hacienda indicó que los usuarios deberán generar una nueva llave criptográfica. Tributación realizará posteriormente cruces de información para verificar los pagos.
“La idea es que no entren todas”, señaló Ramos. “El ATV entra en funcionamiento normalmente, pero se requiere un ingreso ordenado. Para eso es el calendario”.
| Otras obligaciones |
|---|
| Para el cumplimiento de otras obligaciones se establecen los siguientes plazos: |
| Declaraciones informativas |
| Sociedades inactivas: El plazo para presentar la declaración se amplía hasta el 16 de agosto, 2022. |
| Plazo de presentación se amplía al 30 de junio para la presentacion de la declaración informativa de percepciones del IVA en compras de servicios internacionales por medio de Internet o cualquier otra plataforma digital (D-169) y declaración informativa cobro del IVA por intermediarios de servicios digitales transfronterizos inscritos ante la DGT (D-185). |
| Para la presentación de las demás declaraciones informativas (D-150, D-155 y D-157) se tendrá un plazo de 10 días hábiles a partir del restablecimiento de Declar@Web. |
| Pago de impuesto de las personas jurídicas |
| A partir de la habilitación de ATV, las sociedades que fueron constituidas del 18 de abril del 2022 en adelante, tendrán un plazo de hasta 30 días naturales para el pago del impuesto a las personas jurídicas. |
| Inscripción, modificación y desinscripción de personas contribuyentes |
| Desde el 13 de junio, quienes durante la deshabilitación del sistema realizaron el trámite de inscripción o modificación de datos en las administraciones tributarias, tendrán 10 hábiles para registrarlos en ATV. Por su parte, los formularios de desinscripción que las personas presentaron en físico en este mismo período serán registrados por la Administración Tributaria. |
| A partir del próximo lunes la renovación de la llave criptográfica se realizará por este sistema. |
| Con respecto al registro de las facturas en ATV, las personas usuarias que emplean el facturador electrónico gratuito del Ministerio, deberán revocar la llave criptográfica y generar una nueva para, posteriormente, incorporar los comprobantes físicos de contingencia que elaboraron mientras el sistema estuvo fuera de servicio. |
| Fuente: Ministerio de Hacienda |
Ingreso a la fuerza
Para realizar el hackeo los ciberdelincuentes habrían utilizado el procedimiento de fuerza bruta (se utiliza un robot para obtener la credencial que permita el acceso a los sistemas) al parecer el pasado 28 de marzo. Posteriormente, el 18 de abril se detectó un ingreso, fecha en la cual se deshabilitan sistemas.
El ingreso habría sido a través de el servidor de conexión remota, que gestiona unos 100 escritorios virtuales, mediante el cual alcanzaron e infectaron 26 servidores, exfiltraron y encriptaron información. Las autoridades de Hacienda indicaron que se desconoce si fue a través de un enlace remoto desde un hogar o desde alguna oficina de la entidad.
De inmediato se tomó la decisión de desconectar y apagar sistemas y limpiar los 800 servidores y casi 3.000 computadoras del Ministerio. Con eso se evitó, según los funcionarios, una mayor afectación y que los hackers lograran tener acceso a los sistemas de respaldo.
Acosta indicó que se establecieron nuevos procedimientos e implementaron nuevas herramientas para garantizar la seguridad de los sistemas y corroborar que no hay vulnerabilidades.
El Ministro indicó que la información encriptada fue el de las declaraciones de impuestos (cada una solamente identificada por un código), pero que los hackers no pueden asociar a ningún contribuyente con los datos pues no infiltraron la base de datos donde se vincula el código de cada uno.
Aunque el 1° de abril se implementó un sistema de detección de accesos y tráfico no autorizado, para esa fecha los hacker ya habrían ingresado al sistema.
El Ministerio ya habría presentado la denuncia del hackeo ante las autoridades judiciales durante el gobierno anterior, pero actualmente el Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt) realiza el estudio forense con la colaboración de la Federal Bureau of Investigation (FBI) y la Embajada de España.
Acosta reconoció la afectación en la entidad por el recorte del presupuesto de tecnologías de información por ¢7.000 millones realizado en la Asamblea Legislativa anterior y antes del ataque.
“Fue una mala decisión”, afirmó el ministro Nogui Acosta. “Como país éramos uno antes del ciberataque y somos otros después. Es una llamada de atención para todos y sobre la necesidad de invertir en seguridad de la información”.
