Nach Angaben der französischen Steuerbehörde DGFiP verschafften sich Angreifer mit kompromittierten Zugangsdaten Zugriff auf interne Systeme und entwendeten Daten von 678.000 Nutzern. Die Behörde beziffert die Zahl der Betroffenen insgesamt auf ungefähr 680.000 Personen.
Der Vorfall wurde bekannt, nachdem ein Bedrohungsakteur in einem Hackerforum damit angab, Zugriff auf interne Systeme der DGFiP erlangt und Daten exfiltriert zu haben. DGFiP zufolge erfolgte der unbefugte Zugriff in den Monaten Juni und Juli. Die Behörde erklärte, der Zugriff sei sofort nach seiner Entdeckung unterbunden worden. Zugleich habe es zum Zeitpunkt der Entdeckung zunächst keine Belege für einen Datenabfluss gegeben.
In der vergangenen Woche bestätigte DGFiP dann, dass die Täter kompromittierte Zugangsdaten eines Mitarbeiters und eines Drittkontos nutzten, um in die Systeme einzudringen und Informationen zu stehlen. Welche Daten betroffen sind, hat die Finanzbehörde ebenfalls benannt: kompromittiert wurden das steuerliche Referenzeinkommen, der Quellensteuersatz, Firmennamen und eindeutige Kennungen sowie Katasterdaten zu Immobilienadressen und Flächen.
Weitere Informationen seien bei dem Angriff nicht betroffen gewesen, teilte DGFiP mit. Das gelte ausdrücklich auch für Benutzernamen und Passwörter. Der Vorfall sei umgehend an die französische Datenschutzbehörde CNIL gemeldet worden.
Nach Angaben der Steuerbehörde laufen die Untersuchungen zur Art und zum Umfang der Datenpanne weiter. Auch die exakte Zahl der möglicherweise betroffenen Personen werde noch geprüft. DGFiP kündigte an, jede betroffene Person direkt zu kontaktieren.
Der Bericht stellt den Vorfall in einen größeren europäischen Kontext und verweist auf einen weiteren Angriff auf eine staatliche Stelle: Etwa einen Monat zuvor war Rumäniens Nationale Agentur für Kataster und Grundbuchregistrierung, ANCPI, Ziel eines Cyberangriffs geworden. Berichten zufolge griff dort ein Bedrohungsakteur mit dem Namen ByteToBreach die Behörde an, entwendete unter anderem Zugangsdaten von Mitarbeitern und interne Dokumente und versuchte anschließend, die Behörde zu erpressen.
Als der Erpressungsversuch scheiterte, löschte der Angreifer Berichten zufolge die verschlüsselten Daten. Das beeinträchtigte offizielle Anwendungen, Websites und E-Mail-Dienste und brachte den rumänischen Immobilienmarkt zum Stillstand. Die zentrale Datenbank des Katastersystems mit den Einträgen zu Eigentums- und Immobilienrechten blieb jedoch unbeeinträchtigt. ANCPI benötigte dem Bericht zufolge rund drei Wochen, um Server neu aufzubauen und die betroffenen Anwendungen wiederherzustellen.