Wyciek danych z francuskiego urzędu skarbowego dotknął 678 tys. użytkowników, premier zwołuje sztab kryzysowy

Naruszenie bezpieczeństwa

Francuska administracja skarbowa (DGFiP) potwierdziła w piątek, że w wyniku zaawansowanego włamania do systemów informatycznych wykradziono dane 678 tys. osób fizycznych i przedsiębiorstw. Sekcja ds. cyberprzestępczości prokuratury w Paryżu wszczęła w sobotę śledztwo, powierzając sprawę urzędowi Ofac. Dochodzenie dotyczy "nielegalnego pozyskania danych" z państwowego systemu przetwarzania informacji oraz "udziału w zorganizowanej grupie przestępczej w celu przygotowania przestępstwa zagrożonego karą co najmniej pięciu lat więzienia". DGFiP złożyła formalne zawiadomienie, a sprawę zgłoszono do CNIL, francuskiego organu ochrony danych.

Amélie Verdier, dyrektor generalna finansów publicznych, szczegółowo opisała zakres skradzionych informacji. W przypadku osób fizycznych wyciekły nazwiska, iloraz rodzinny, referencyjny dochód podatkowy oraz stawka podatku u źródła. Dane firm określono jako "mniej wrażliwe niż w przypadku osób fizycznych", obejmują one numery Siren oraz adresy siedzib i pełnomocników. Urząd skarbowy podkreślił, że skradzione dane "nie umożliwiają dostępu do zabezpieczonego konta w serwisie impots.gouv.fr".

Haker

Odpowiedzialność za wyciek wziął na siebie haker posługujący się pseudonimem ZeroBytes, jak podał dziennikarz franceinfo Valentin Stoquer, który nawiązał kontakt z napastnikiem. Haker przekazał, że działał w parze, kierując się zyskiem finansowym, i wystawił dane na sprzedaż na forum, udostępniając darmowe próbki zawierające informacje o dziesiątkach osób.

Nie ma tu koniecznie związku z polityką. Znaleźliśmy to i wykorzystaliśmy.

Zapytany o potencjalne konsekwencje prawne, haker odpowiedział, że nie przebywa we Francji i że z jego lokalizacji nie ma możliwości ekstradycji. ZeroBytes przyznał się do kilku wcześniejszych cyberataków, w tym na sieć Intermarché, firmę z branży gier wideo oraz Francuski Związek Piłki Ręcznej. France Télévisions zweryfikowała autentyczność danych, kontaktując się z poszkodowanymi, w tym z kobietą mieszkającą w Niemczech, która potwierdziła, że już wcześniej była celem próby oszustwa.

Reakcja rządu

Premier Sébastien Lecornu poprowadzi w poniedziałkowe popołudnie międzyresortowy sztab kryzysowy (CIC) za pośrednictwem bezpiecznego połączenia wideo, po powrocie z wizyty w departamencie Gironde. Kancelaria premiera ogłosiła spotkanie w niedzielę, zaznaczając, że jego celem jest upewnienie się, iż powiadomienia dla 678 tys. poszkodowanych użytkowników są "w pełni gotowe do wysyłki". Użytkownicy zaczną otrzymywać informacje o zakresie wycieku oraz zalecenia dotyczące bezpieczeństwa od poniedziałku.

Lecornu zlecił również ministrowi ds. działań i rachunków publicznych Davidowi Amielowi audyt zabezpieczeń systemów IT w DGFiP, którego wyniki wraz z planem działań operacyjnych mają zostać przedstawione we wrześniu. Sztab kryzysowy dokona przeglądu szerszego planu cyberbezpieczeństwa administracji publicznej, uruchomionego 30 kwietnia, który obejmuje 200 mln euro na wzmocnienie ochrony przed cyberatakami.

Reakcje polityczne

Wyciek wywołał ostre reakcje polityczne. Senatorowie socjalistyczni wysłali list do przewodniczącego Senatu Gérarda Larchera z wnioskiem o powołanie parlamentarnej komisji śledczej, wskazując na serię incydentów, która choć nie pozwala jeszcze stwierdzić systemowej awarii, wymaga sprawdzenia pod kątem wspólnych podatności. Bruno Retailleau, kandydat na prezydenta z ramienia konserwatywnych Republikanów, napisał na platformie X, że Francja jest "drugim najbardziej dotkniętym cyberatakami krajem na świecie" i wezwał do wdrożenia "Planu Vauban", aby zbudować "prawdziwą cyfrową twierdzę" i chronić dane obywateli.