Die französische Steuerbehörde hat bestätigt, dass Informationen von Hunderttausenden Steuerzahlern und Fachleuten gestohlen wurden, nachdem Angreifer unbefugten Zugang zu ihren Systemen erhalten hatten. Die Direction Générale des Finances Publiques (DGFiP) untersucht den Einbruch weiterhin, nachdem ein Hacker öffentlich die Verantwortung übernommen und eine viel größere Sammlung französischer Steuerunterlagen beworben hat.
Der Vorfall wurde bekannter, nachdem ein Angreifer unter dem Namen “ZeroBytes” eine Datenbank mit Informationen über mehr als zwei Millionen französische Steuerzahler beworben hatte. Der Hacker behauptete, der Einbruch habe im Juni und Juli stattgefunden und sagte, gestohlene Zugangsdaten sowie eine Methode zur Umgehung der Multifaktor-Authentifizierung seien verwendet worden, um in DGFiP-Systeme einzudringen. Der Angreifer beanspruchte außerdem weiterhin Zugriff, aber DGFiP sagt, dass die mit den identifizierten Eindringlingen verbundenen Konten gesperrt wurden, als die unautorisierte Aktivität entdeckt wurde.
Die Untersuchung von DGFiP hat ergeben, dass während der Angriffe Daten entwendet wurden, obwohl der Diebstahl zunächst nicht entdeckt wurde. Laut der Behörde betrafen die Eindringlinge kompromittierte Zugangsdaten, die mit einem DGFiP-Mitarbeiter und einer autorisierten dritten Partei verknüpft sind. Als der unbefugte Zugriff erstmals identifiziert wurde, deaktivierten die Behörden die betroffenen Konten, aber die damaligen Sicherheitsüberprüfungen zeigten nicht, dass die Informationen bereits entfernt worden waren.
Die bestätigte Zahl der betroffenen Personen und Fachkräfte liegt derzeit bei etwa 678.000. Dies liegt deutlich unter der vom mutmaßlichen Angreifer angegebenen Zahl, und die laufenden Ermittlungen haben die Behauptung nicht bestätigt, dass mehr als zwei Millionen Steuerzahlerunterlagen vorgelegt wurden. Französische Medien berichten, dass die offengelegten Informationen sowohl persönliche als auch steuerbezogene Details enthalten.
Zu den kompromittierten Steuerinformationen gehören Referenzsteuereinkommen, Familienquotienten und Quellensteuersätze. Geschäftsbezogene Unterlagen umfassen Firmennamen und SIREN-Identifikationsnummern, während auch Katastralinformationen zu Grundstücksadressen und Grundstücksgrößen abgerufen wurden. DGFiP hat erklärt, dass die Online-Kontodaten der Steuerzahler, einschließlich ihrer IDs und Passwörter, bei diesem Vorfall nicht kompromittiert wurden.
Nachdem die Ermittler weitere Informationen über den Datenverstoß erhalten hatten, führte DGFiP weitere Sicherheitsmaßnahmen ein. Dazu gehörten präventive Einschränkungen beim Zugang zu sensiblen Informationssystemen, während die Behörden weiterhin genau feststellten, was die Angreifer erreicht hatten und wie viele Informationen entfernt wurden.
Personen und Fachleute, die als betroffen identifiziert wurden, werden voraussichtlich direkte Benachrichtigungen von der Steuerbehörde erhalten, in denen erklärt wird, welche Kategorien ihrer Informationen möglicherweise exponiert wurden und welche Vorsichtsmaßnahmen sie beachten sollten. Das endgültige Ausmaß des Vorfalls wird weiterhin untersucht, was bedeutet, dass sich die derzeit bestätigte Zahl im Verlauf der forensischen Arbeiten ändern könnte.
Der Sicherheitsvorfall folgt auf einen weiteren Sicherheitsvorfall mit DGFiP Anfang 2026. Ab Ende Januar erhielt ein Angreifer, der die Zugangsdaten eines Regierungsangestellten erhalten hatte, unbefugten Zugang zu einem Teil von FICOBA, der nationalen Datenbank der französischen Bankkonten. DGFiP gab an, dass dieser Vorfall etwa 1,2 Millionen Konten betraf, was weniger als 1 % der in der Datenbank enthaltenen Bankdaten entspricht.
Der frühere FICOBA-Kompromittering legte Bankinformationen offen, darunter RIB- und IBAN-Daten, aber DGFiP hat erklärt, dass derzeit keine belegte Verbindung zwischen diesem Angriff und dem jüngsten Diebstahl von Steuerzahlerdaten besteht.
Das genaue Ausmaß des neuen Verstoßes bleibt daher ungeklärt. DGFiP hat unbefugten Zugriff und Diebstahl bestätigt, an denen etwa 678.000 Personen und Fachleute beteiligt waren, während der mutmaßliche Angreifer behauptet, im Besitz eines deutlich größeren Datensatzes zu sein. Ermittler arbeiten weiterhin daran, das genaue Volumen und die Art der gestohlenen Informationen zu ermitteln.