ZeroBytes bietet Daten der französischen Steuerbehörde an: DGFiP-Lücke mit 678.000 Betroffenen bestätigt
Am 12. August 2026 stellte ein Threat Actor unter dem Handle ZeroBytes ein Listing im Hacking-Forum PwnForums ein, das eine Datenbank zum Verkauf anbot, die angeblich aus der französischen Direction générale des Finances publiques (DGFiP) gestohlen wurde, der Behörde, die die Steuerverwaltung des Landes betreibt. Der Verkäufer behauptete Zugriff auf DGFiP-Infrastruktur seit Ende Juni, gewonnen durch gestohlene Zugangsdaten kombiniert mit einem Bypass der Zwei-Faktor-Authentifizierung, und bot sowohl einen statischen Dump als auch, wie er es nannte, weiterhin lebendigen Zugriff auf französische Steuersysteme. Tage später bestätigte das französische Wirtschafts- und Finanzministerium unberechtigten Zugriff auf DGFiP-Informationssysteme, von dem rund 678.000 Personen und Organisationen betroffen sind.
Was das Ministerium bestätigte
Die offizielle Erklärung ist bedachter als der Forumsbeitrag, und die Lücke zwischen beiden lohnt im Blick zu behalten. Laut Ministerium umfassen die kompromittierten Daten Einkommensinformationen, Familienzusammensetzung, Steuerabzugsquoten, Firmennamen und SIREN-Registrierungsnummern, Katasteradressen und Grundstücksflächen. Entscheidend: Die Regierung betonte, dass Online-Konten der Nutzer nicht betroffen waren und keine Benutzernamen oder Passwörter von privaten oder beruflichen Steuerzahlern gestohlen wurden. Sobald der unberechtigte Zugriff identifiziert war, schränkte die DGFiP den Zugriff auf ihre sensiblen Informationssysteme ein und startete gemeinsam mit der ANSSI, der nationalen Cybersicherheitsbehörde Frankreichs, eine Untersuchung. Die Datenschutzaufsicht CNIL wurde informiert, und Opferbenachrichtigungen gehen per E-Mail und Post heraus, die ausführen, welche Datenkategorien womöglich abgerufen wurden und welche Vorsichtsmaßnahmen Empfänger ergreifen sollten. Die DGFiP hat zudem Strafanzeige erstattet. Die Behauptungen des Verkäufers, unbelegt
ZeroBytes erzählt eine größere Geschichte als das Ministerium. In seinen Forenbeiträgen behauptet er, den Serveur Professionnel de Données Cadastrales (SPDC) erreicht zu haben, das professionelle Portal zum zentralisierten Liegenschaftskataster Frankreichs, und sagt, dieses Portal hielt Datensätze zu rund 20 Millionen Bürgern. Er gibt an, 252.149 Datensätze zu mehr als zwei Millionen Menschen extrahiert zu haben, bevor er das vollständige Scraping als unpraktikabel langsam aufgab, und dass er zum Zeitpunkt des Postens noch ins Panel eingeloggt und bereit war, diesen Zugang zusammen mit dem Dump zu verkaufen (ZATAZ). Keine dieser Zahlen ist unabhängig verifiziert, und sie sollten als Marketing gelten, bis die Forensik etwas anderes sagt. Die Zahl mit amtlichem Gewicht ist 678.000. Die Diskrepanz zählt praktisch. Würde die wahre Betroffenheit in Millionen statt Hunderttausenden gemessen, skalierten Benachrichtigungsvolumen und Phishing-Risiko entsprechend. Aber Underground-Verkäufer blähen Reichweite routinemäßig auf, um Preise zu treiben, und eine Behauptung von Live-Zugriff kann von Außenstehenden nicht getestet werden. Dagegen steht der Bericht der Behörde, dass jedes kompromittierte Konto bei Entdeckung abgetrennt wurde, mit zusätzlichen Zugriffskontrollen seitdem. Warum Steuerdaten sich verkaufen
Steuerdatensätze gehören zu den gefährlichsten Datensätzen, die auf kriminellen Märkten kursieren können - gerade weil sie so gewöhnlich aussehen. Ein Name gepaart mit referenziertem zu versteuernden Einkommen, Familienzusammensetzung und einer exakten Abzugsquote lässt einen Betrüger die Steuerbehörde mit verheerender Glaubwürdigkeit imitieren. Ein Anruf oder eine E-Mail, die deine echte Einkommensspanne und deinen echten prélèvement à la source-Satz nennt, klingt nicht nach Phishing; es klingt nach Bercy. Für Unternehmen ermöglichen Firmennamen plus SIREN-Nummern Rechnungsbetrug und überzeugende Anrufe an Lohn- und Kreditoren-Abteilungen. Katasteradressen und Grundstücksflächen fügen eine physische Dimension hinzu: wer große oder wertvolle Immobilien besitzt und wo diese Menschen leben. Das ist dieselbe Dynamik, die wir bemerkten, als deutsche Schufa-Datensätze Anfang dieses Sommers in einem Underground-Forum auftauchten; siehe unsere Berichterstattung über den angeblichen SCHUFA-Datenbankverkauf. Finanz- und Verwaltungsdatensätze im nationalen Maßstab sind Premium-Waren in europäischsprachigen Märkten geworden, und Staatsinstitutionen sind inzwischen reguläre Ziele statt Ausnahmen. Ein Serientäter mit vertrauter Methode
ZeroBytes ist kein Neuling. Berichte in französischen und russischen Medien verbinden denselben Alias mit einer Serie von Intrusionen 2026 gegen französische Organisationen, darunter eine Supermarktkette, eine Gaming-Plattform und ein Sportverband, alle nach einem konsistenten Playbook: Zugangsdaten eines Mitarbeiters oder autorisierten Dritten stehlen, sich über ein VPN in ein internes Abfragetool einloggen, dann Daten Datensatz für Datensatz extrahieren, um unter den Erkennungsschwellen zu bleiben, die gegen Massen-Downloads ausgelegt sind (FrenchBreaches). Russischsprachige Berichterstattung fasst den Fall für ein breiteres Publikum zusammen (Xakep), während englischsprachige Berichte die Zahl von 678.000 und die SPDC-Behauptungen bestätigen (BleepingComputer). Die Methode beleuchtet eine strukturelle Schwäche, die viele große Verwaltungen teilen: Interne Suchwerkzeuge, gebaut für legitime Verwaltungsarbeit, werden zu effizienten Extraktionsmaschinen, sobald ihre einzige Kontrolle ein Login ist. Exfiltration Abfrage für Abfrage schlägt volumenbasierte Alarmierung fast per Design. Worauf zu achten ist
Drei Dinge formen, wie diese Geschichte weitergeht. Erstens, ob ANSSIs Untersuchung die Zahl von 678.000 nach oben korrigiert, während die Forensik weiterläuft, oder die größere SPDC-Erzählung des Verkäufers validiert. Zweitens, ob irgendein Teil des Dumps öffentlich auftaucht, was den Vorfall von einem kontrollierten Verkauf zum Freibrief für alle machen würde. Drittens, zu welchem Ergebnis die CNIL zum Zeitablauf zwischen der Intrusion Ende Juni und der Offenlegung kommt, zumal die DSGVO-Meldefristen mit der Kenntnis des Breach selbst beginnen, nicht mit der Bestätigung, dass Daten abgeflossen sind. Für alle, die benachrichtigt werden, gilt der praktische Rat unverändert: Behandle steuerthematische E-Mails, Anrufe und Briefe mit erhöhtem Misstrauen, prüfe jede Anfrage unabhängig über offizielle Kanäle und reagiere nie auf Zahlungs- oder Bankdaten-Änderungen, die durch unaufgeforderten Kontakt angestoßen werden. Eine solche Datenbank muss nicht weiterverkauft werden, um Schaden anzurichten; eine Kopie in den falschen Händen reicht für eine sehr überzeugende Phishing-Saison.
