Das französische Wirtschaftsministerium bestätigte, dass bei der DGFiP Daten von Privatpersonen und Unternehmen ausgelesen und extrahiert wurden. Der Angreifer habe sich Ende Juni Zugang zu den Informationssystemen der Behörde verschafft, nachdem er eine fremde Identität gestohlen oder missbraucht hatte. Der unerlaubte Zugriff sei noch Ende Juni erkannt und beendet worden.
Die Untersuchung soll nun klären, auf welche Informationen genau zugegriffen wurde, welche Daten entwendet wurden und wie viele Personen und Unternehmen betroffen sind. Die DGFiP kündigte an, kompromittierte Betroffene einzeln zu kontaktieren und offenzulegen, welche Informationen möglicherweise betroffen waren. Außerdem will die Behörde Frankreichs Datenschutzaufsicht informieren, Strafanzeige erstatten und im Verlauf der Ermittlungen weitere Angaben machen.
Bekannt wurde der Vorfall, nachdem ein Hacker in dieser Woche die Tat für sich reklamierte. Nach Angaben von FrenchBreaches, einer Website zur Verfolgung von Datenlecks in Frankreich, trat der Angreifer unter dem Alias ZeroBytes auf. FrenchBreaches berichtete zudem, der Hacker habe behauptet, Daten von mehr als 600.000 Menschen erbeutet zu haben, darunter Namen und weitere persönliche Informationen, Steueridentifikationsnummern, E-Mail-Adressen, Angaben zu Familienverhältnissen sowie Details zum Steuerstatus.
Diese Behauptungen sind bislang nicht unabhängig überprüft. Der Quellennachweis von FrenchBreaches zufolge erklärte der Hacker außerdem, er habe Zugriff auf interne Server erhalten, sich darüber mit dem VPN der Behörde verbunden und ein internes Werkzeug genutzt, um Informationen zu Privatpersonen und Unternehmen zu durchsuchen. Demnach habe der Angreifer bereits mit dem Datendiebstahl begonnen, bevor sein Zugriff unterbunden wurde.
Die DGFiP hat den Vorfall bislang keinem bestimmten Bedrohungsakteur öffentlich zugeschrieben und die Angaben des Hackers nicht bestätigt. Fest steht nur, dass die Behörde einen Einbruch in ihre Systeme und den Abfluss von Daten bestätigt hat.
Der Fall reiht sich in mehrere Sicherheitsvorfälle bei französischen Behörden in diesem Jahr ein. Im April griffen Hacker die Website der französischen Nationalen Agentur für sichere Dokumente (ANTS) an, die Anträge für Reisepässe, Personalausweise, Aufenthaltstitel und Führerscheine bearbeitet. Im selben Monat teilte das Bildungsministerium mit, dass bei einem Angriff auf ein System zur Verwaltung von Schülerkonten persönliche Daten von Schülern offengelegt wurden.
Bereits im Februar drangen Hacker außerdem in einen Teil der Datei der nationalen Bankkonten ein, einer Datenbank mit in Frankreich geführten Bankkonten. Dabei wurden Informationen zu rund 1,2 Millionen Konten offengelegt, bei mehr als 300 Millionen Einträgen in der Datenbank. Französische Behörden gehen zugleich auch gegen mutmaßliche Täter vor: Anfang dieses Jahres nahm die Polizei einen 20-Jährigen fest, der verdächtigt wird, Dutzende Datenverstöße bei staatlichen Stellen, Sportverbänden und privaten Unternehmen verursacht zu haben.