Hvad DGFiP faktisk mistede
Indtrængen i den franske Direction Generale des Finances Publiques begyndte den 26. juni 2026, da en angriber brugte stjålne loginoplysninger fra en DGFiP-medarbejder og en separat autoriseret tredjepart til at få adgang til myndighedens systemer. Interne kontroller afskar den adgang inden udgangen af juni, og finansministeriets officielle meddelelse opgør de eksponerede data til omkring 678.000 personer og virksomheder - tæt pa de 678.438 linjer, som angriberen selv senere hævdede. For private skatteydere er de eksponerede felter fulde navne, klassificering af familiekvotienten, den referencemæssige skattepligtige indkomst og kildeskatteprocenten; for virksomheder SIREN-registreringsnummeret, virksomhedens adresse og adressen pa den bemyndigede repræsentant.
DGFiP har oplyst, at ingen sikre skatteyderkonti pa portalen impots.gouv.fr blev kompromitteret, sa dataene alene ikke giver nogen adgang til aktive selvangivelser. Men myndigheden selv beskrev indtrængen som mere sofistikeret end noget, den tidligere havde stået over for, og de eksponerede felter - indkomstniveau, skatteprocent, familiesituation, virksomhedsregistrering og adressedata - er præcis den slags detaljer, der gør et efterfølgende phishingopkald eller en svigagtig e-mail troværdig.
Otteogfyrre dage fra afskæring til offentlig offentliggørelse
Den tidslinje, der tæller her, er ikke selve indtrængen, men tavsheden bagefter. DGFiP afskar angriberens adgang i slutningen af juni, og bruddet forblev uanmeldt indtil den 12. august, da angriberen offentliggjorde sin egen påstand om datatyveriet. Først den følgende dag, den 13. august, udsendte finansministeriet en officiel meddelelse, der bekræftede indtrængen, og oplyste, at DGFiP ville underrette CNIL, Frankrigs databeskyttelsesmyndighed, og indgive politianmeldelse til anklagemyndigheden i Paris, som siden har indledt en efterforskning med inddragelse af OFAC, den nationale enhed mod cyberkriminalitet.
Denne kløft pa 48 dage er lovlig ifølge GDPR's ordlyd: forordningens 72-timers frist gælder kun for underretning af tilsynsmyndigheden, ikke for underretning af de berørte personer, som kun skyldes en offentliggørelse 'uden unødig forsinkelse', når et brud udgør en høj risiko - en standard uden noget fast tal knyttet til sig. Ministeren for offentlige regnskaber, David Amiel, bad derefter DGFiP om direkte at underrette de berørte skatteydere og foreslå styrkede sikkerhedsprocedurer, men den anmodning kom, efter at angriberens eget opslag havde tvunget myndigheden til at handle, ikke før.
Bøden, der ikke gælder for den, der burde betale
Her er den asymmetri, en privat operator bør hæfte sig ved: ifølge den franske lov, der implementerer GDPR, kunne en virksomhed, der håndterede et brud, som DGFiP gjorde - kompromitterede tredjepartsoplysninger, ugers tavshed, offentliggørelse først efter at angriberen selv gik ud offentligt - risikere CNIL-bøder pa op til 10 millioner euro eller 2 procent af den globale årsomsætning for ikke at have underrettet berørte personer uden unødig forsinkelse. Den samme lovgivning udelukker udtrykkeligt 'behandlinger udført af staten' fra disse administrative sanktioner. Den mekanisme, der skal gøre hurtig offentliggørelse til et spørgsmål om finansiel egeninteresse for enhver virksomhed, som DGFiP regulerer, findes simpelthen ikke for DGFiP selv.
En fagforening fra den offentlige sektor stillede netop dette spørgsmål, sa snart bruddet blev offentligt kendt: uden angriberens egen afsløring, hvornår og hvordan skulle de berørte skatteydere og virksomheder nogensinde have fået at vide, hvad der var sket. Det er ikke et hypotetisk spørgsmål for de omkring 678.000 mennesker og virksomheder, der nu sidder med en oplysning, de ikke havde for to måneder siden - og det er en direkte ledelseslære for enhver ejer, der antager, at en offentlig modparts incitamenter i håndteringen af data afspejler dem, som regulering pålægger deres eget selskab. Det gør de ikke, og kløften lukkes først, når angriberen beslutter sig for at tale. Enhver virksomhed, hvis SIREN-nummer og registrerede adresse lå i denne eksponering, bør betragte de kommende uger som et aktivt vindue for identitetssvindel, ikke som en afsluttet hændelse, uanset hvor lang tid DGFiP selv brugte pa at sige det.
Læs videre: Beacons brud falder uden for ethvert sikkerhedsnet | CEVA-brud rammer Steam-kunder i Europa
