De Franse belastingdienst DGFiP heeft gemeld dat er sprake is van een DGFiP datalek dat ongeveer 680.000 personen raakt. Het incident kwam aan het licht nadat een aanvaller op een hackingforum claimde toegang te hebben gekregen tot interne systemen en data te hebben geëxfiltreerd.
DGFiP stelt dat de ongeautoriseerde toegang plaatsvond in juni en juli. Volgens de fiscus werd de toegang direct stopgezet zodra het werd ontdekt, maar er werd toen nog geen bewijs gezien dat er daadwerkelijk gegevens waren buitgemaakt. Inmiddels is dat beeld bijgesteld.
Wat is er gebeurd bij het DGFiP datalek?
Volgens DGFiP is de toegang tot de systemen mogelijk gemaakt door gestolen of gecompromitteerde inloggegevens. De aanvallers zouden zowel een inlogaccount van een medewerker als een account van een derde partij hebben misbruikt om tot de interne omgeving door te dringen.
Begin dit jaar bevestigde DGFiP dat er gegevens van 678.000 gebruikers zijn gestolen. Tegelijk benadrukt de organisatie dat het onderzoek nog loopt naar de precieze aard en reikwijdte van het datalek, en dat het aantal mogelijk getroffen personen opnieuw wordt vastgesteld.
Welke gegevens zijn volgens DGFiP gelekt?
De Franse fiscale autoriteit geeft aan welke categorieën informatie in elk geval zijn gecompromitteerd. Het gaat onder meer om gegevens over belastinginkomsten, inclusief details rond inhoudingsbelasting en relevante percentages.
Daarnaast noemt DGFiP ook informatie zoals bedrijfsnamen en unieke identifiers. Voor onroerend goed zijn bovendien gegevens gerapporteerd die gekoppeld zijn aan cadasterdata voor adressen en oppervlakten.
DGFiP meldt dat geen andere informatie is blootgesteld, waaronder gebruikersnamen en wachtwoorden. Daarmee ligt de focus van het DGFiP datalek op uitgelekte administratieve en identificerende gegevens, niet op credentials zelf.
Wanneer werd het lek ontdekt?
In eerste instantie werd de ongeautoriseerde toegang volgens DGFiP onmiddellijk beëindigd toen het werd gedetecteerd. Het duurde echter langer voordat duidelijk werd of er sprake was van daadwerkelijke data-exfiltratie.
Dat DGFiP pas later bevestigde dat er informatie was gestolen, illustreert hoe een incident zich kan ontwikkelen: detectie van verdachte toegang is één stap, het vaststellen van de exacte impact en exfiltratie is vaak een tweede, tijdrovende fase.
Rapportage aan CNIL en communicatie naar betrokkenen
DGFiP heeft het incident direct gemeld aan de Franse toezichthouder voor gegevensbescherming, CNIL. Ook zegt de organisatie dat zij direct contact zal opnemen met iedere persoon die naar verwachting daadwerkelijk geraakt is.
Omdat DGFiP nog onderzoekt hoe groot de groep potentieel getroffen individuen precies is, kan de definitieve omvang in de komende fase nog verfijnd worden.
Context: cyberincidenten bij Europese overheden
Dit nieuws komt ongeveer een maand nadat een andere Europese overheidsinstantie werd getroffen door een cyberaanval. In Roemenië raakte de ANCPI (National Agency for Cadastre and Property Registration) betrokken bij een disruptieve aanval waarbij informatie werd gestolen en er bovendien pogingen tot afpersing zouden zijn gedaan.
Het DGFiP datalek staat dus niet op zichzelf. Het valt op dat overheden en publieke diensten steeds vaker te maken krijgen met aanvallen die gericht zijn op vertrouwelijke dossiers, persoonsgegevens en operationele systemen. Daarbij kan afpersing een rol spelen, maar ook het eenvoudigweg stelen en later gebruiken van data.
Waarom gestolen inloggegevens zo’n groot risico zijn
Het DGFiP datalek laat zien hoe effectief gecompromitteerde accounts kunnen zijn. Door toegang met gestolen credentials te combineren met interne systemen, kan een aanvaller in relatief korte tijd bij relevante informatie komen.
Hoewel DGFiP aangeeft dat wachtwoorden en gebruikersnamen niet zijn gelekt, blijft het risico bestaan dat dezelfde inloggegevens elders wel misbruikt kunnen worden. In dit type scenario is het daarom extra belangrijk om te kijken naar accounthygiëne en hergebruik van wachtwoorden buiten de getroffen omgeving.
Praktische maatregelen voor organisaties
- Beperk accountrechten: zorg dat medewerkers en externe partijen alleen toegang hebben tot wat nodig is voor hun rol.
- Gebruik sterke authenticatie: waar mogelijk multi-factor authenticatie toepassen.
- Controleer accountgebruik: monitor logins van gecompromitteerde accounts op anomalieën (tijd, locatie, apparaat).
- Verbeter incidentdetectie: richt op het tijdig vaststellen van data-exfiltratie en niet alleen op het stoppen van toegang.
Als je wilt weten hoe aanvallen zich kunnen “vastbijten” in enterprise-omgevingen, kan dit ook interessant zijn: lees bijvoorbeeld over hoe MCP servers enterprise secrets kunnen lekken.
Wat betekent dit voor betrokkenen?
Voor de personen die DGFiP noemt als mogelijk geraakt, is vooral de aard van de gelekte informatie relevant. Gegevens over belastinginkomsten, inhoudingspercentages, identifiers en kadasterinformatie kunnen worden misbruikt voor gerichte social engineering of gerelateerde fraude.
DGFiP geeft aan dat het slachtoffergericht contact opneemt. In de tussentijd is het voor betrokkenen verstandig om alert te blijven op verdachte berichten die verwijzen naar belastingzaken, inkomensgegevens of vastgoedregistraties.
Organisaties doen er op hun beurt goed aan om intern te controleren of er tijdens de periode van juni en juli verdachte activiteiten zijn geweest, en of betrokken accounts zijn gecompromitteerd geweest.
Onderzoek loopt: omvang en exacte impact worden bepaald
Hoewel DGFiP inmiddels een duidelijke eerste inschatting geeft van het aantal getroffen gebruikers en welke gegevens zijn buitgemaakt, blijft het bedrijf onderzoeken hoe het incident precies is verlopen.
Daarbij hoort ook het bepalen van de exacte grenzen: wie valt onder “potentieel getroffen” en welke interne systemen zijn geraadpleegd. DGFiP geeft aan dat het de exacte aantallen nog wil vaststellen en de aard en reikwijdte verder in kaart wil brengen.
De update rond het DGFiP datalek is daarmee nog niet “af”: net als bij veel datalekken volgt vaak na initiële berichtgeving nog een fase waarin de impact verder wordt gekwantificeerd.
Conclusie
Het DGFiP datalek toont hoe cybercriminelen via gestolen inloggegevens bij gevoelige administratieve informatie van overheidsinstanties kunnen komen. DGFiP bevestigt dat er gegevens van ongeveer 678.000 gebruikers zijn gestolen, met onder meer fiscale en kadaster-gerelateerde informatie, terwijl wachtwoorden en gebruikersnamen volgens de fiscus niet werden gecompromitteerd.
Door het incident te melden aan CNIL en betrokkenen direct te benaderen, zet DGFiP stappen richting schadebeperking. Tegelijk benadrukt het lopende onderzoek dat de uiteindelijke omvang en impact nog verder worden vastgesteld.
Bron: https://www.securityweek.com/680000-impacted-by-french-tax-authority-data-breach/
