Wyciek danych francuskich podatników – skradziono informacje o 678 437 osobach

Francuska administracja skarbowa DGFiP potwierdziła włamanie do swoich systemów i kradzież danych osobowych podatników. Po ujawnieniu sprawy parlamentarzyści socjalistyczni zażądali powołania komisji śledczej, określając zdarzenie jako najpoważniejszy cyberatak w historii kraju. Sprawa ponownie wywołała zarzuty dotyczące niedostatecznego przygotowania państwa do ochrony danych gromadzonych przez administrację.

Skala i charakter skradzionych danych

Atak objął co najmniej 678 437 osób – zarówno klientów indywidualnych, jak i podmioty prowadzące działalność gospodarczą. Szczególne obawy budzi zakres informacji, które miały trafić w ręce przestępców.

Skradzione dane obejmują nazwiska, adresy pocztowe i elektroniczne, numery telefonów, a także informacje o liczbie osób pozostających na utrzymaniu w gospodarstwie domowym, stawce opodatkowania oraz referencyjnym dochodzie podatkowym.

Duet cyberprzestępców działający pod nazwą „ZeroBytes”, który przyznał się do przeprowadzenia ataku, poinformował 17 sierpnia, że zgromadzony zbiór danych został już sprzedany dwóm osobom za kwotę sięgającą tysięcy euro. Informacje te pochodzą jednak bezpośrednio od sprawców, dlatego należy podchodzić do nich ostrożnie.

Ryzyko wyrafinowanych prób wyłudzeń

Francuskie służby podatkowe rozpoczęły powiadamianie podatników, których dotyczy wyciek. Administracja ostrzega przede wszystkim przed próbami phishingu, które mogą pojawić się w najbliższych tygodniach.

Największe obawy dotyczą możliwości przygotowania bardzo przekonujących prób oszustwa. Sprawcy mają bowiem dysponować szczegółowymi i wrażliwymi informacjami, które mogą ułatwić tworzenie wiadomości wyglądających na wiarygodne.

Wątpliwości wokół terminu poinformowania opinii publicznej

Jednym z najbardziej kontrowersyjnych elementów sprawy jest to, że o włamaniu jako pierwsi publicznie poinformowali sami cyberprzestępcy, a nie administracja. Dopiero później DGFiP potwierdziła skalę ataku.

Według sprawców do włamania doszło już w czerwcu, podczas gdy komunikacja ze strony państwa rozpoczęła się dopiero w ostatnich dniach. Tymczasem francuski niezależny organ ochrony danych osobowych CNIL nakłada na przedsiębiorstwa i administrację obowiązek zawiadomienia osób, których dane zostały wykradzione, w terminie maksymalnie 72 godzin od wykrycia naruszenia.

Administracja skarbowa przyznała, że wykryła włamanie i przerwała złośliwe połączenie na swoich serwerach. Jednocześnie utrzymuje, że nie zarejestrowała pobierania danych. Związki zawodowe działające w służbach podatkowych pytają w tej sytuacji, czy chodzi o kłamstwo, czy o niekompetencję.

Sposób działania sprawców

Pytania wywołuje również sposób przeprowadzenia ataku, opisany przez samych cyberprzestępców. W rozmowie z portalem French Breaches, specjalizującym się w informacjach o wyciekach danych, duet twierdził, że uzyskał dostęp do systemu dzięki służbowym danym logowania urzędników skarbowych. Kilka tygodni wcześniej celem ataku był także Tchap, komunikator przeznaczony dla urzędników.

Według danych firmy Surfshark, zajmującej się cyberochroną, Francja była w 2025 r. drugim najczęściej atakowanym krajem na świecie, ustępując jedynie Stanom Zjednoczonym.

Seria ataków i 200 mln euro na zabezpieczenia

Najnowszy wyciek wpisuje się w coraz dłuższą serię cyberataków. Francuskie służby podatkowe ucierpiały już wcześniej w wyniku włamania do danych katastralnych. W kwietniu zaatakowano natomiast inną wrażliwą instytucję publiczną – France Titres, odpowiedzialną za wydawanie dowodów tożsamości i praw jazdy. Tamta sprawa obejmowała od 12 do 19 mln kont.

Thierry Cozic, socjalistyczny senator departamentu Sarthe i wiceprzewodniczący senackiej komisji finansów, stwierdził w związku z serią takich zdarzeń, że Francja stała się cyfrowym sitem.

Już w kwietniu rząd zapowiedział przeznaczenie 200 mln euro na poprawę zabezpieczeń administracji. Zdaniem ekspertów rzeczywiste potrzeby finansowe mogą być jednak znacznie większe i sięgać około miliarda euro.