ZeroBytes wystawia dane francuskiego urzędu skarbowego na sprzedaż: wyciek DGFiP potwierdzony, 678 000 dotkniętych
12 sierpnia 2026 aktor zagrożeń działający pod kryptonimem ZeroBytes wystawił listing na hakerskim forum PwnForums, oferując na sprzedaż bazę danych rzekomo skradzioną francuskiej Direction générale des Finances publiques (DGFiP) - agencji prowadzącej administrację podatkową kraju. Sprzedający twierdził, że ma dostęp do infrastruktury DGFiP od końca czerwca, zdobyty skradzionymi poświadczeniami w połączeniu z obejściem uwierzytelniania dwuskładnikowego, i oferował zarówno statyczny dump, jak i, jak to ujął, wciąż żywy dostęp do francuskich systemów podatkowych. Dni później francuskie Ministerstwo Gospodarki i Finansów potwierdziło nieuprawniony dostęp do systemów informacyjnych DGFiP, dotykający około 678 000 osób i organizacji.
Co ministerstwo potwierdziło
Oficjalne oświadczenie jest bardziej wstrzemięźliwe niż post forumowy, a przepaść między nimi warto trzymać w polu widzenia. Według ministerstwa skompromitowane dane obejmują informacje o dochodach, skład rodziny, stawki zaliczek, nazwy firm i numery rejestracyjne SIREN, adresy katastralne i powierzchnie nieruchomości. Kluczowe: rząd podkreślił, że konta online użytkowników nie zostały dotknięte i że żadne nazwy użytkowników ani hasła podatników indywidualnych czy firmowych nie zostały skradzione. Jak tylko nieuprawniony dostęp został zidentyfikowany, DGFiP ograniczyła dostęp do swoich wrażliwych systemów informacyjnych i uruchomiła śledztwo wspólnie z ANSSI, francuską krajową agencją cyberbezpieczeństwa. Organ ochrony danych CNIL został powiadomiony, a powiadomienia do poszkodowanych wychodzą e-mailem i pocztą, wyszczególniając, jakie kategorie danych mogły być oglądane i jakie środki ostrożności powinni podjąć odbiorcy. DGFiP złożyła też zawiadomienie karne. Twierdzenia sprzedającego, niezweryfikowane
ZeroBytes opowiada większą historię niż ministerstwo. W postach na forum twierdzi, że dotarł do Serveur Professionnel de Données Cadastrales (SPDC) - profesjonalnego portalu dającego dostęp do scentralizowanej ewidencji gruntowej Francji - i mówi, że portal ten trzymał rekordy obejmujące około 20 milionów obywateli. Deklaruje, że wyekstrahował 252 149 rekordów dotykających ponad dwa miliony ludzi, zanim porzucił pełne skrobanie jako niepraktycznie powolne, i że w momencie postu wciąż był zalogowany do panelu i gotów sprzedać ten dostęp razem z dumpem (ZATAZ). Żadna z tych liczb nie została niezależnie zweryfikowana i należy je traktować jako marketing, dopóki kryminalistyka nie powie inaczej. Liczba z oficjalną wagą to 678 000. Rozbieżność ma znaczenie praktyczne. Gdyby realna ekspozycja mierzona była milionami, a nie setkami tysięcy, wolumeny powiadomień i ryzyko phishingu skalowałyby się odpowiednio. Ale podziemni sprzedawcy rutynowo pompują zasięg, by podnosić ceny, a twierdzenia o żywym dostępie nie dają się sprawdzić z zewnątrz. Kontruje relacja agencji: każde skompromitowane konto zostało odcięte przy wykryciu, z dodatkowymi kontrolami dostępu nałożonymi od tamtej pory. Dlaczego dane podatkowe się sprzedają
Rekordy podatkowe należą do najgroźniejszych zbiorów danych krążących po kryminalnych rynkach - właśnie przez swój zwykły wygląd. Nazwisko sparowane z referencyjnym dochodem do opodatkowania, składem rodziny i dokładną stawką zaliczki pozwala oszustowi podszyć się pod urząd skarbowy z dewastującą wiarygodnością. Telefon czy e-mail podający twoją prawdziwą widełkę dochodu i twoją prawdziwą stawkę prélèvement à la source nie brzmi jak phishing; brzmi jak Bercy. Dla firm nazwy firm plus numery SIREN otwierają oszustwa fakturacyjne i przekonujące telefony do działów płac i rozrachunków z dostawcami. Adresy katastralne i powierzchnie nieruchomości dodają wymiar fizyczny: kto posiada duże lub cenne nieruchomości i gdzie te osoby mieszkają. To ta sama dynamika, którą odnotowaliśmy, gdy zapisy niemieckiego biura kredytowego wypłynęły na podziemnym forum na początku tego lata; zobacz naszą relację o rzekomej sprzedaży bazy SCHUFA. Zbiory danych finansowych i administracyjnych w skali narodowej stały się towarem premium na rynkach języków europejskich, a instytucje państwowe są teraz regularnymi celami, a nie wyjątkami. Serialny aktor ze znajomą metodą
ZeroBytes nie jest nowicjuszem. Doniesienia francuskich i rosyjskich mediów wiążą ten sam alias z serią włamań w 2026 do francuskich organizacji, w tym sieci supermarketów, platformy gamingowej i federacji sportowej - wszystkie według spójnego playbooka: ukraść poświadczenia pracownika lub autoryzowanego podmiotu trzeciego, zalogować się przez VPN do wewnętrznego narzędzia zapytań, a potem wyciągać dane rekord po rekordzie, by zostawać pod progami detekcji zaprojektowanymi na masowe pobrania (FrenchBreaches). Rosyjskojęzyczne doniesienia podsumowują sprawę dla szerszej publiczności (Xakep), a anglojęzyczne potwierdzają liczbę 678 000 i twierdzenia o SPDC (BleepingComputer). Metoda obnaża strukturalną słabość, którą dzieli wiele dużych administracji: wewnętrzne narzędzia wyszukiwania zbudowane do legalnej pracy administracyjnej stają się wydajnymi maszynami ekstrakcji, skoro ich jedyną kontrolą jest login. Eksfiltracja zapytanie po zapytaniu niemal z definicji bije alarmowanie oparte na wolumenie. Na co czekać
Trzy rzeczy ukształtują rozwój tej historii. Pierwsza: czy śledztwo ANSSI zrewiduje liczbę 678 000 w górę w miarę postępu kryminalistyki, czy zweryfikuje większą narrację SPDC sprzedającego. Druga: czy jakaś część dumpa wypłynie publicznie, co przekształciłoby incydent z kontrolowanej sprzedaży w sezon otwartej eksploatacji. Trzecia: do jakiego wniosku dojdzie CNIL co do osi czasu między włamaniem końcem czerwca a ujawnieniem, zważywszy, że zegary powiadamiania o breachu wg GDPR startują z momentem świadomości samego breachu, a nie z potwierdzeniem, że dane wypłynęły. Dla powiadomionych rada praktyczna jest bez zmian: traktuj e-maile, telefony i listy na tematy podatkowe z podwyższoną podejrzliwością, weryfikuj każdą prośbę niezależnie oficjalnymi kanałami i nigdy nie działaj na zmiany płatności czy danych bankowych wywołane niezamówionym kontaktem. Taka baza nie musi być odsprzedawana, by wyrządzić szkodę; jedna kopia w cudzych rękach wystarczy, by napędzić bardzo przekonujący sezon phishingowy.
