Die französischen Ermittlungsbehörden haben Anfang dieser Woche beantragt, den Teenager offiziell anzuklagen und unter gerichtliche Aufsicht zu stellen. Den Ermittlungen zufolge soll der Verdächtige an einer Reihe von Aktivitäten beteiligt gewesen sein, die mit Angriffen auf das französische Staatssystem in Zusammenhang stehen — darunter unerlaubter Zugriff, Aufrechterhaltung von Zugang, Datenextraktion und der Besitz von Werkzeugen für Cyberangriffe.
Die ANTS-Behörde verwaltet eine der sensiblesten digitalen Plattformen Frankreichs. Sie bearbeitet nicht nur Anträge für Reisepässe, nationale Ausweiskarten und Führerscheine, sondern betreut auch eine neue staatliche Altersverifikations-App, die Kinder unter 15 Jahren vom Zugang zu sozialen Netzwerken abhalten soll. Ein Hack dieser Infrastruktur hat daher weitreichende Konsequenzen.
Französische Behörden bestätigten, dass der Cyberangriff verschiedene Kategorien von Personendaten kompromittiert haben könnte. Dazu gehören Anmeldedaten, Namen, E-Mail-Adressen, Geburtsdaten und eindeutige Kontonummern. Zusätzlich könnten auch Postanschriften, Telefonnummern und Geburtsorte offengelegt worden sein.
Der Cybercrime-Abteilung der Pariser Staatsanwaltschaft war die ANTS-Verletzung bereits im März aufgefallen, nachdem die Daten auf unterirdischen Marktplätzen erschienen waren. Die Behörde bestätigte daraufhin ungewöhnliche Aktivitäten in ihrem Netzwerk und räumte ein, dass die zirkulierenden Informationen authentisch erscheinen.
Dieser Fall reiht sich in eine Serie hochkarätiger Datenpannen in Frankreich ein. Anfang dieses Monats wurde ein 20-Jähriger unter dem Spitznamen “HexDex” verhaftet, der für Dutzende von Angriffen auf öffentliche Institutionen, Sportverbände und private Organisationen verantwortlich sein soll. Im Januar detektierten die Behörden zudem einen 18-Jährigen, der die Daten von über einer Million Mitgliedern des französischen Schützenverbandes geleakt und verkauft haben soll.
Für deutsche Sicherheitsbehörden und Unternehmen ist der französische Fall ein wichtiges Warnsignal. Das BSI empfiehlt kontinuierliche Sicherheitsaudits und Multi-Faktor-Authentifizierung bei kritischen Systemen, besonders bei der Verarbeitung von Identitätsdaten. Unternehmen und Behörden müssen ihre Abwehrmaßnahmen verstärken, um ähnliche Vorfälle zu verhindern.