Das französische Finanzministerium beziffert den Vorfall auf 678.000 betroffene Personen und Berufstätige. In seiner Mitteilung erklärt das Ministerium, die seit dem 12. August 2026 durchgeführten vertieften Untersuchungen hätten ergeben, dass die kompromittierten Zugänge vor ihrer Sperrung genutzt wurden, um Daten einzusehen und zu extrahieren. Genannt werden dabei Steuerinformationen wie Referenzsteuereinkommen, Familienquotient und Quellensteuersatz.
Für Unternehmen wurden nach Angaben des Ministeriums ebenfalls Daten abgegriffen, darunter Firmenname und SIREN-Nummer. Hinzu kamen Katasterdaten zu Adressen und zur Größe von Grundstücken. Sobald diese Datenabflüsse festgestellt worden seien, habe die Generaldirektion für öffentliche Finanzen die französische Datenschutzbehörde CNIL informiert.
Ausgelöst wurde die öffentliche Bekanntmachung des Falls durch einen Beitrag im Hackerforum PwnForums. Dort schrieb ein Bedrohungsakteur mit dem Namen „ZeroBytes“, er habe den Angriff durchgeführt, und bot am 12. August eine gestohlene Datenbank zum Verkauf an. In einem weiteren Beitrag behauptete derselbe Akteur zudem, Zugriff auf den Serveur Professionnel de Données Cadastrales (SPDC) erlangt zu haben, eine von der französischen Steuerbehörde betriebene Online-Plattform für den Zugriff auf das zentrale Grundbuch und Eigentumsdaten des Landes.
Nach Darstellung von „ZeroBytes“ eröffnete dieses Portal Zugriff auf Daten von rund 20 Millionen französischen Bürgern. Der Akteur erklärte jedoch, er habe letztlich nur 252.149 Datensätze mit Informationen zu mehr als 2 Millionen Menschen entwenden können. Zur Begründung schrieb er, die Extraktion sei nicht abgeschlossen worden, weil das Abschöpfen der Daten äußerst aufwendig gewesen wäre und Monate gedauert hätte. Zudem behauptete er, weiterhin im Panel angemeldet zu sein und den Zugang zusammen mit der Datenbank verkaufen zu können.
Die französische Steuerverwaltung reagierte nach eigenen Angaben mit der Abschaltung des Zugangs zu sensiblen Informationssystemen. Die Untersuchung des Vorfalls läuft weiter, unterstützt von der französischen Cybersicherheitsbehörde ANSSI, um das gesamte Ausmaß des Datenabflusses zu bewerten. Das Ministerium betonte zugleich, dass die Online-Konten privater und beruflicher Nutzer nicht kompromittiert worden seien. Auch Benutzerkennungen und Passwörter seien nicht betroffen.
Am Freitag teilte das Finanzministerium außerdem mit, dass ab kommender Woche alle Betroffenen per E-Mail oder Brief kontaktiert werden sollen. Diese Benachrichtigungen sollen erläutern, auf welche Daten möglicherweise zugegriffen oder welche gestohlen wurden, sowie welche Vorsichtsmaßnahmen zu treffen sind.
Der Vorfall reiht sich in mehrere Cyberangriffe und Datenlecks ein, die in den vergangenen Monaten französische Behörden getroffen haben. Im Januar verhängte die französische Datenschutzbehörde gegen die Arbeitsagentur France Travail eine Geldbuße von 5 Millionen Euro, nachdem Hacker personenbezogene Daten von 43 Millionen Menschen gestohlen hatten. Einen Monat später meldete das französische Finanzministerium einen weiteren Datenschutzvorfall mit mehr als 1,2 Millionen betroffenen Nutzerkonten, nachdem Angreifer eine Datenbank aus den Systemen des nationalen Bankkontenregisters FICOBA entwendet hatten. Zuletzt machte auch France Titres einen Datenschutzvorfall öffentlich, nachdem ein Bedrohungsakteur eine Datenbank mit 19 Millionen Datensätzen zum Verkauf anbot, die angeblich von der Nationalen Agentur für sichere Dokumente (ANTS) stammte.