De Franse Belastingdienst heeft een groot datalek bevestigd waarbij hackers toegang hebben gekregen tot gegevens van 678.000 mensen en deze mogelijk hebben gestolen.
De Direction générale des Finances publiques (DGFiP) meldt dat aanvallers eind juni en begin juli ongeautoriseerde toegang tot zijn systemen hebben gekregen. De hackers konden gegevens bekijken en buitmaken voordat de inbraak werd ontdekt.
Welke gegevens zijn gestolen?
De DGFiP heeft nog niet bevestigd welke gegevens precies zijn buitgemaakt. Samen met de Franse cybersecuritydienst ANSSI wordt onderzoek gedaan naar de volledige omvang van het datalek en het aantal getroffen personen en bedrijven.
De Franse datalekmonitor FrenchBreaches schrijft de aanval echter toe aan een hacker die bekendstaat als ZeroBytes. Deze beweert aanzienlijk meer gegevens te hebben buitgemaakt dan tot nu toe officieel is gemeld.
Een door de aanvaller verstrekt voorbeeld zou namen, geboortedata, adressen, telefoonnummers, e-mailadressen, inkomensgegevens en kadastrale gegevens bevatten. ZeroBytes beweert dat de volledige dataset informatie over meer dan 2 miljoen mensen bevat. Deze cijfers en claims zijn niet door de DGFiP bevestigd.
Aanval zou MFA hebben omzeild
Volgens ZeroBytes werd toegang verkregen met buitgemaakte inloggegevens en door multifactorauthenticatie (MFA) te omzeilen. De DGFiP heeft deze lezing van de aanval niet bevestigd.
De Belastingdienst laat weten dat de betrokken accounts direct zijn uitgeschakeld nadat de inbraken werden ontdekt. Uit de eerste beveiligingscontroles bleek niet dat er al gegevens waren gestolen. Volgens de Franse overheid kwam dit door de geavanceerde aard van de aanval.
Inmiddels zijn aanvullende beveiligingsmaatregelen genomen. Getroffen personen worden naar verwachting rechtstreeks geïnformeerd.
Dit nieuwste incident maakt deel uit van een groeiende reeks datalekken bij Franse overheidsinstanties. Zo waren er onlangs ook cyberaanvallen op France Travail, het Franse ministerie van Binnenlandse Zaken, de FICOBA-database met bankrekeninggegevens en de nationale instantie voor identiteitsdocumenten.
