Co dokładnie straciła DGFiP
Wlamanie do francuskiej Direction Generale des Finances Publiques rozpoczęło się 26 czerwca 2026 roku, gdy atakujący wykorzystał skradzione dane logowania należące do pracownika DGFiP oraz do odrębnej upoważnionej strony trzeciej, aby uzyskać dostęp do systemów urzędu. Kontrole wewnętrzne odcięły ten dostęp jeszcze przed końcem czerwca, a oficjalny komunikat Ministerstwa Finansow szacuje ujawnione dane na około 678 tysięcy osob i firm - blisko 678 438 wierszy, które atakujący sam później zadeklarował. W przypadku podatników indywidualnych ujawnione pola to pełne imię i nazwisko, klasyfikacja ilorazu rodzinnego, referencyjny dochód podlegający opodatkowaniu oraz stawka podatku u źródła; w przypadku firm - numer rejestracyjny SIREN, adres firmy oraz adres upoważnionego przedstawiciela.
DGFiP oświadczyła, ze żadne zabezpieczone konta podatników na portalu impots.gouv.fr nie zostały naruszone, więc same dane nie daja nikomu dostępu do bieżących deklaracji podatkowych. Jednak sam urząd opisał włamanie jako bardziej wyrafinowane niż cokolwiek, z czym miał wcześniej do czynienia, a ujawnione pola - poziom dochodu, stawka podatkowa, sytuacja rodzinna, rejestracja firmy i dane adresowe - to dokładnie ten rodzaj szczegółów, który uwiarygadnia kolejny telefon phishingowy albo fałszywy e-mail.
Czterdziesci osiem dni od odcięcia dostępu do publicznego ujawnienia
Os czasu, która ma tu znaczenie, to nie samo włamanie, lecz milczenie, które nastąpiło potem. DGFiP odcięła dostęp atakującego pod koniec czerwca, a wyciek pozostał nieujawniony az do 12 sierpnia, gdy atakujący opublikował własne żądanie dotyczące kradzieży danych. Dopiero następnego dnia, 13 sierpnia, Ministerstwo Finansow wydało oficjalny komunikat potwierdzający włamanie, informując, ze DGFiP powiadomi CNIL, francuski organ ochrony danych, oraz złoży zawiadomienie do prokuratury w Paryzu, która od tego czasu wszczęła śledztwo z udziałem OFAC, krajowej jednostki do walki z cyberprzestępczością.
Ta 48-dniowa luka jest legalna w świetle litery RODO: 72-godzinny termin z rozporządzenia dotyczy wyłącznie zgłoszenia do organu nadzorczego, a nie powiadomienia osob, których dane dotyczą - im ujawnienie należy się jedynie 'bez zbędnej zwłoki', gdy naruszenie wiąże się z wysokim ryzykiem - a to standard bez żadnej stałej liczby dni. Minister do spraw rachunków publicznych, David Amiel, zwrócił się następnie do DGFiP o bezpośrednie powiadomienie dotkniętych podatników i zaproponowanie wzmocnionych procedur bezpieczeństwa, ale ta prośba pojawiła się dopiero po tym, jak własny wpis atakującego zmusił urząd do działania, a nie wcześniej.
Kara, która nie dotyczy tego, kto powinien ja zapłacić
Oto asymetria, nad która powinien się zastanowić operator z sektora prywatnego: zgodnie z francuskim prawem wdrażającym RODO, firma, która obsługiwałaby naruszenie tak jak zrobiła to DGFiP - skompromitowane dane logowania strony trzeciej, tygodnie milczenia, ujawnienie dopiero po tym, jak sam atakujący upublicznił sprawę - mogłaby zostać ukarana grzywną CNIL sięgająca 10 milionów euro lub 2 procent globalnego rocznego obrotu za brak powiadomienia osob dotkniętych naruszeniem bez zbędnej zwłoki. To samo prawo wprost wyłącza 'przetwarzanie danych realizowane przez panstwo' spod tych sankcji administracyjnych. Mechanizm, który miał sprawić, ze szybkie ujawnianie stanie się kwestią własnego interesu finansowego dla każdej firmy regulowanej przez DGFiP, po prostu nie istnieje dla samej DGFiP.
Zwiazek zawodowy z sektora publicznego postawił dokładnie to pytanie, gdy tylko naruszenie stało się publiczne: bez własnego ujawnienia przez atakującego, kiedy i jak dotknięci podatnicy oraz firmy w ogóle dowiedzieliby się, co się stało. To nie jest pytanie hipotetyczne dla około 678 tysięcy osob i firm, które teraz posiadają informację, której nie miały dwa miesiące temu - i to bezpośrednia lekcja z zakresu ładu instytucjonalnego dla każdego właściciela, który zakłada, ze bodźce rządowego kontrahenta w postępowaniu z danymi odzwierciedlają te, jakie regulacje nakładają na jego własna firmę. Nie odzwierciedlają, a luka zamyka się dopiero wtedy, gdy atakujący zdecyduje się mowic. Kazda firma, której numer SIREN i zarejestrowany adres znalazły się w tym ujawnieniu, powinna traktować najbliższe tygodnie jako aktywne okno ryzyka wyłudzenia tożsamości, a nie jako zamknięty incydent, niezależnie od tego, jak długo sama DGFiP zwlekała z powiedzeniem o tym.
Czytaj dalej: Wyciek Beacon nie mieści się w żadnej siatce ochronnej | Wyciek CEVA dotyka nabywców Steam w Europie
