ZeroBytes Fransız vergi dairesi verilerini satışa çıkarıyor: DGFiP ihlali doğrulandı, 678.000 kişi etkilendi
12 Ağustos 2026'da ZeroBytes takma adıyla faaliyet gösteren bir tehdit aktörü, Fransız Direction générale des Finances publiques (DGFiP) - ülkenin vergi idaresini yürüten ajans - sızdırıldığı iddia edilen bir veritabanını satılığa çıkaran bir listelemeyi PwnForums hack forumuna koydu. Satıcı, haziran sonundan beri çalınmış kimlik bilgileriyle ikinci faktör doğrulamasının bir bypass'ının birleşimiyle elde edilen DGFiP altyapısı erişimi iddia ediyor ve hem statik bir dump hem de tarif ettiği kadarıyla hâlâ canlı olan Fransız vergi sistemleri erişimi sunuyordu. Günler sonra Fransa'nın Ekonomi ve Maliye Bakanlığı, yaklaşık 678.000 kişi ve kuruluşu etkileyen DGFiP bilgi sistemlerine hukuka aykırı erişimi doğruladı.
Bakanlığın doğruladıkları
Resmi açıklama forum gönderisinden daha ölçülü ve ikisi arasındaki boşluk görüş alanında tutulmaya değer. Bakanlığa göre ele geçirilen veriler gelir bilgilerini, aile bileşimini, stopaj oranlarını, şirket adlarını ve SIREN tescil numaralarını, kadastro adreslerini ve mülk yüz ölçümlerini kapsıyor. Kritik olan: hükümet, kullanıcıların online hesaplarının etkilenmediğini ve bireysel ya da kurumsal mükelleflerin hiçbir kullanıcı adı ya da şifresinin çalınmadığını vurguladı. Hukuka aykırı erişim tespit edilir edilmez, DGFiP hassas bilgi sistemlerine erişimi kısıtladı ve Fransa'nın ulusal siber güvenlik ajansı ANSSI ile birlikte bir soruşturma başlattı. Veri koruma otoritesi CNIL bilgilendirildi ve mağdur bildirimleri e-posta ve postayla, hangi veri kategorilerine erişilmiş olabileceğini ve alıcıların hangi önlemleri alması gerektiğini açıklayarak gidiyor. DGFiP ayrıca ceza şikayetinde bulundu. Satıcının iddiaları, doğrulanmamış
ZeroBytes, bakanlığın anlattığından daha büyük bir hikâye anlatıyor. Forum gönderilerinde, Fransa'nın merkezileştirilmiş kadastro siciline erişim veren profesyonel portal Serveur Professionnel de Données Cadastrales (SPDC)'ye ulaştığını iddia ediyor ve o portalın yaklaşık 20 milyon vatandaşa dair kayıt tuttuğunu söylüyor. Tam kazımayı pratik olmayacak kadar yavaş bırakmadan önce iki milyondan fazla insana dokunan 252.149 kayıt çıkardığını ve gönderi anında hâlâ panele giriş yapmış olduğunu ve o erişimi dump ile birlikte satmaya hazır olduğunu belirtiyor (ZATAZ). Bu rakamların hiçbiri bağımsız doğrulanmadı ve adli çalışma başka söyleyene dek pazarlama olarak ele alınmalı. Resmi ağırlık taşıyan sayı 678.000. Uyuşmazlık pratikte önemli. Gerçek maruziyet yüz binlerle değil milyonlarla ölçülseydi, bildirim hacimleri ve phishing riski buna göre ölçeklenirdi. Ama yeraltı satıcıları fiyatı yükseltmek için rutin olarak erişimi şişirir ve canlı erişim iddiası dışarıdan test edilemez. Ajansın anlatımıyla çelişiyor: ele geçirilen her hesap tespit anında kesildi ve o zamandan beri ek erişim kontrolleri uygulandı. Vergi verileri neden satılıyor
Vergi kayıtları, tam olarak sıradan göründükleri için suç piyasalarında dolaşabilen en tehlikeli veri setlerinden. Referans vergiye tabi gelir, aile bileşimi ve kesin bir stopaj oranıyla eşleşen bir isim, dolandırıcının vergi dairesini yıkıcı bir inandırıcılıkla taklit etmesini sağlar. Gerçek gelir bandınızı ve gerçek prélèvement à la source oranınızı belirten bir arama ya da e-posta phishing gibi duyulmaz; Bercy gibi duyulur. Şirketler için şirket adları artı SIREN numaraları fatura dolandırıcılığını ve bordro ile borç tahakkuk personeline yönelik inandırıcı aramaları mümkün kılar. Kadastro adresleri ve mülk yüz ölçümleri fiziksel bir boyut ekler: büyük ya da değerli mülkü kimin elinde tuttuğu ve o insanların nerede yaşadığı. Bu, bu yazın başında Alman kredi bürosu kayıtları bir yeraltı forumunda ortaya çıktığında not ettiğimiz dinamikle aynı; iddia edilen SCHUFA veritabanı satışı hakkındaki haberimize bakın. Ulusal ölçekli mali ve idari veri setleri Avrupa dilleri pazarlarında premium emtia haline geldi ve devlet kurumları artık istisna değil düzenli hedefler. Tanıdık yöntemli seri bir aktör
ZeroBytes yeni gelen biri değil. Fransız ve Rus medyasındaki haberler aynı takma adı 2026'daki Fransız kuruluşlarına karşı bir dizi sızma ile bağlıyor: bir süpermarket zinciri, bir oyun platformu ve bir spor federasyonu dahil, hepsi tutarlı bir playbook izliyor: bir çalışana ya da yetkili üçüncü tarafa ait kimlik bilgilerini çal, bir VPN üzerinden dahili bir sorgu aracına giriş yap, sonra toplu indirmeleri yakalamak üzere tasarlanmış tespit eşiklerinin altında kalmak için verileri kayıt kayıt çıkar (FrenchBreaches). Rusça haberler olayı daha geniş bir kitle için özetliyor (Xakep), İngilizce haberler ise 678.000 rakamını ve SPDC iddialarını doğruluyor (BleepingComputer). Yöntem, birçok büyük idarenin paylaştığı yapısal bir zaafı aydınlatıyor: meşru idari iş için inşa edilen dahili arama araçları, tek kontrolleri bir login olduğu anda verimli çıkarma motorlarına dönüşüyor. Sorgu sorgu sızdırma, neredeyse tasarımla hacim tabanlı uyarıyı yener. Nelere dikkat edilmeli
Üç şey bu hikâyenin gidişatını şekillendirecek. Birincisi, ANSSI'nin soruşturması adli çalışma sürerken 678.000 rakamını yukarı mı revize edecek, yoksa satıcının daha büyük SPDC anlatısını mı doğrulayacak. İkincisi, dump'ın herhangi bir parçası kamuya yüzeye çıkacak mı - bu olayı kontrollü satıştan olayı kontrollü satıştan herkese açık bir suiistimal sezonuna çevirecek. Üçüncüsü, CNIL haziran sonu sızma ile açıklama arasındaki zaman çizelgesi hakkında hangi sonuca varacak; zira GDPR ihlal-bildirim saatleri, verilerin gittiğinin doğrulanmasında değil, ihlalin kendisinin fark edildiği anda başlar. Bildirim alanlar için pratik tavsiye değişmedi: vergi temalı e-postaları, aramaları ve mektupları yüksek şüpheyle ele alın, her talebi resmi kanallardan bağımsız doğrulayın ve istenmeyen temasla tetiklenen ödeme ya da banka bilgisi değişimleri üzerinde asla işlem yapmayın. Böyle bir veritabanı zarar vermek için yeniden satılmak zorunda değil; yanlış ellerdeki tek bir kopya çok inandırıcı bir phishing sezonunu beslemeye yeter.
