ZeroBytes виставляє на продаж дані французької податкової: витік DGFiP підтверджено, постраждало 678 000
12 серпня 2026 року актор загрози під хендлом ZeroBytes виставив лістинг на хакерському форумі PwnForums, пропонуючи на продаж базу даних, нібито вкрадену у французької Direction générale des Finances publiques (DGFiP) - відомства, що керує податковою адміністрацією країни. Продавець заявляв доступ до інфраструктури DGFiP із кінця червня, здобутий украденими обліковками в поєднанні з обходом двофакторної автентифікації, і пропонував і статичний дамп, і, як він висловлювався, все ще живий доступ до французьких податкових систем. За кілька днів міністерство економіки та фінансів Франції підтвердило неправомірний доступ до інформаційних систем DGFiP, що торкнувся близько 678 000 осіб та організацій.
Що підтвердило міністерство
Офіційна заява стриманіша за форумний пост, і зазор між ними варто тримати в полі зору. За міністерством, скомпрометовані дані охоплюють відомості про доходи, склад родини, ставки утримання, назви компаній і реєстраційні номери SIREN, кадастрові адреси та площі нерухомості. Ключове: уряд підкреслив, що онлайн-акаунти користувачів не постраждали і що жодних логінів чи паролів приватних або корпоративних платників податків викрадено не було. Щойно неправомірний доступ було виявлено, DGFiP обмежила доступ до своїх чутливих інформаційних систем і запустила розслідування спільно з ANSSI, національним агенцією кібербезпеки Франції. Регулятор захисту даних CNIL повідомлений, повідомлення постраждаалим ідуть електронною та звичайною поштою з роз’ясненням, які категорії даних могли бути переглянуті та які застережні заходи варто вжити отримувачам. DGFiP також подала кримінальну заяву. Заяви продавця: без перевірки
ZeroBytes розповідає більшу історію, ніж міністерство. У форумних постах він стверджує, що дістався Serveur Professionnel de Données Cadastrales (SPDC) - професійного порталу доступу до централізованого земельного кадастру Франції, - і каже, що той портал тримав записи приблизно про 20 мільйонів громадян. Він заявляє, що витяг 252 149 записів, що торкаються понад два мільйони людей, перш ніж покинути повний скрейпінг як непрактично повільний, і що на момент поста був ще залогінений у панель і готовий продати цей доступ разом із дампом (ZATAZ). Жодна з цих цифр не перевірена незалежно, і до вердикту форензики їх слід вважати маркетингом. Число з офіційною вагою - 678 000. Розбіжність важлива практично. Якби реальна експозиція мірилася мільйонами, а не сотнями тисяч, обсяги повідомлень і фішинговий ризик масштабувалися б відповідно. Але підпільні продавці рутинно роздувають охоплення заради ціни, а заява про живий доступ не може бути перевірена сторонніми. Їй суперечить версія відомства: кожен скомпрометований акаунт було відрізано при виявленні, з додатковими контролами доступу відтоді. Чому податкові дані продаються
Податкові записи - серед найнебезпечніших датасетів, що можуть ходити кримінальними ринками, - саме через свою буденність. Ім’я в парі з довідковим оподатковуваним доходом, складом родини й точною ставкою утримання дозволяє шахраєві імперсонуєвати податкову з руйнівною переконливістю. Дзвінок або лист, що називає вашу реальну доходну вилку та вашу реальну ставку prélèvement à la source, не звучить як фішинг; воно звучить як Бercy. Для бізнесу назви компаній плюс номери SIREN відкривають шахрайство з рахунками та переконливі дзвінки до пайролу й кредиторки. Кадастрові адреси й площі додають фізичний вимір: хто володіє великою чи дорогою нерухомістю і де ці люди живуть. Це та сама динаміка, яку ми відзначали, коли записи німецького кредитного бюро спливли на підпільному форумі на початку цього літа; дивіться наш матеріал про нібито продаж бази SCHUFA. Фінансові та адміністративні датасети національного масштабу стали преміальним товаром на ринках європейських мов, а державні інституції тепер регулярні цілі, а не винятки. Серійний актор зі знайомим методом
ZeroBytes - не новачок. Публікації французьких і російських ЗМІ пов’язують той самий аліас із серією вторгнень 2026 року проти французьких організацій, включно з мережею супермаркетів, ігровою платформою та спортивною федерацією, - усі за однаковим плейбуком: вкрасти обліковки працівника чи авторизованої третьої сторони, залогінитися через VPN у внутрішній інструмент запитів, потім витягувати дані запис за записом, залишаючись під порогами детекції, розрахованими на масові вивантаження (FrenchBreaches). Російськомовне висвітлення резюмує справу для ширшої аудиторії (Xakep), а англомовні репортажі підтверджують цифру 678 000 і заяви щодо SPDC (BleepingComputer). Метод підсвічує структурну слабкість, спільну для багатьох великих адміністрацій: внутрішні пошукові інструменти, збудовані для легітимної адміністративної роботи, стають ефективними екстракційними машинами, щойно їхній єдиний контроль - логін. Ексфільтрація запит за запитом майже за задумом б’є алертинг за обсягом. За чим слідкувати
Три речі визначать розвиток цієї історії. Перша: чи перегляне розслідування ANSSI цифру 678 000 угору в міру форензики, чи валідує більшу SPDC-наративу продавця. Друга: чи спливе якась частина дампу публічно - це перемкне інцидент із контрольованого продажу на сезон відкритої охоти. Третя: до якого висновку прийде CNIL щодо хронології між вторгненням кінця червня та розкриттям, зважаючи, що годинники GDPR-повідомлення про breach стартують з обізнаності про сам breach, а не з підтвердженням, що дані пішли. Для тих, хто отримає повідомлення, практична порада незмінна: ставитися до листів, дзвінків і листувань на податкову тему з підвищеною підозрою, перевіряти будь-яке прохання незалежно офіційними каналами й ніколи не діяти за зміни платіжних чи банківських реквізитів, спричинених незапрошеним контактом. Такій базі не треба перепродаватися, щоб шкодити; однієї копії в чужих руках досить на дуже переконливий фішинговий сезон.
