Das französische Ministerium für Wirtschaft und Finanzen gab einen Angriff auf die Systeme der Generaldirektion für öffentliche Finanzen (DGFiP) bekannt, durch den auf Daten von 678.000 Privatpersonen und Berufstätigen zugegriffen wurde. Erste Ermittlungen ergaben, dass die Daten Steuer- und Immobilieninformationen umfassten. Das Ministerium erklärte jedoch, dass die Online-Benutzerkonten, Anmeldedaten und Passwörter nicht kompromittiert worden seien.
Die Behörden entdeckten den Vorfall, nachdem eine Person unter dem Namen ZeroBytes die Verantwortung für den Angriff übernommen und am 12. August eine gestohlene Datenbank im Hackerforum PwnForums zum Verkauf angeboten hatte. Seit diesem Datum laufen eingehende Ermittlungen, um das Ausmaß des Zugriffs sowie die eingesehenen oder extrahierten Daten zu bestimmen.
Welche Daten waren betroffen?
Nach Angaben des französischen Finanzministeriums umfassten die abgerufenen Daten unter anderem das steuerliche Referenzeinkommen, den Familienquotienten und den Steuersatz. Bei Unternehmen enthielten die Daten den Firmennamen und die dazugehörige SIREN-Nummer.
Betroffen waren außerdem Katasterdaten zu Adressen und Grundstücksflächen. Die Generaldirektion für öffentliche Finanzen informierte die französische Datenschutzbehörde (CNIL) unmittelbar nach der Feststellung des Vorfalls. Die Steuerverwaltung sperrte unterdessen die Zugänge zu sensiblen Informationssystemen und setzte die Folgenabschätzung mit Unterstützung der französischen Nationalen Agentur für die Sicherheit von Informationssystemen (ANSSI) fort.
Weitere Behauptungen zum Kataster
ZeroBytes behauptete außerdem, Zugriff auf die Plattform Serveur Professionnel de Données Cadastrales (SPDC) erlangt zu haben. Diese wird von der französischen Steuerbehörde betrieben und ermöglicht den Zugriff auf das zentrale Kataster sowie auf die Immobilienbesitzregister des Landes.
Der Angreifer erklärte, die Plattform habe den Zugriff auf Daten von rund 20 Millionen französischen Bürgern ermöglicht. Seiner Behauptung zufolge konnte er jedoch lediglich 252.149 Datensätze mit Daten von mehr als zwei Millionen Menschen extrahieren. Diese Zahlen und zusätzlichen Behauptungen stehen weiterhin getrennt von dem Umfang, den das Finanzministerium offiziell bestätigt hat und der 678.000 Privatpersonen und Berufstätige umfasst.
Was bedeutet das für die Betroffenen?
Steuer- und Immobiliendaten können sensible Einzelheiten über die finanzielle und familiäre Situation sowie den Besitz offenlegen, selbst wenn Passwörter oder Anmeldedaten nicht durchgesickert sind. Daher erklärte das Finanzministerium, dass es ab der Woche nach der Bekanntgabe alle Betroffenen per E-Mail oder Brief kontaktieren werde, um sie über die möglicherweise abgerufenen oder gestohlenen Daten und die erforderlichen Vorsichtsmaßnahmen zu informieren.
Der Vorfall reiht sich in eine Serie von Angriffen ein, die in den vergangenen Monaten französische Behörden getroffen haben. Im Januar verhängte die Datenschutzbehörde eine Geldstrafe von 5 Millionen Euro gegen die nationale Arbeitsagentur France Travail, nachdem persönliche Informationen von 43 Millionen Menschen gestohlen worden waren. Im darauffolgenden Monat gab das Finanzministerium einen weiteren Angriff bekannt, von dem mehr als 1,2 Millionen Benutzerkonten betroffen waren, nachdem eine Datenbank aus den Systemen des nationalen Registers für Bankkonten FICOBA gestohlen worden war. Später gab auch die Agentur France Titres einen Angriff im Zusammenhang mit einer Datenbank mit 19 Millionen Datensätzen bekannt, die angeblich von der Nationalen Agentur für sichere Dokumente (ANTS) gestohlen worden war.