Vad DGFiP faktiskt förlorade
Intrånget i den franska Direction Generale des Finances Publiques inleddes den 26 juni 2026, då en angripare använde stulna inloggningsuppgifter som tillhörde en DGFiP-anställd och en separat auktoriserad tredje part för att komma åt myndighetens system. Interna kontroller stängde av den åtkomsten före slutet av juni, och finansministeriets officiella meddelande uppskattar de exponerade uppgifterna till omkring 678 000 privatpersoner och företag - nära de 678 438 rader som angriparen själv senare hävdade. För privata skattebetalare är de exponerade fälten fullständigt namn, klassificering av familjekvot, referensbeskattningsbar inkomst och källskattesats; för företag SIREN-registreringsnumret, företagsadressen och adressen till den behöriga företrädaren.
DGFiP har uppgett att inga säkra skattebetalarkonton på portalen impots.gouv.fr komprometterades, så uppgifterna i sig ger ingen tillgång till någons löpande skattedeklarationer. Men myndigheten själv beskrev intrånget som mer sofistikerat än något den tidigare stått inför, och de exponerade fälten - inkomstnivå, skattesats, familjesituation, företagsregistrering och adressuppgifter - är precis den typ av detaljer som gör ett efterföljande phishingsamtal eller ett bedrägligt e-postmeddelande trovärdigt.
Fyrtioåtta dagar från avstängning till offentligt avslöjande
Tidslinjen som spelar roll här är inte själva intrånget utan tystnaden efteråt. DGFiP stängde av angriparens åtkomst i slutet av juni, och intrånget förblev oanmält fram till den 12 augusti, då angriparen publicerade sitt eget påstående om datastölden. Först dagen därpå, den 13 augusti, gav finansministeriet ut ett officiellt meddelande som bekräftade intrånget och angav att DGFiP skulle underrätta CNIL, Frankrikes dataskyddsmyndighet, och göra en polisanmälan hos åklagarmyndigheten i Paris, som sedan dess har inlett en utredning som involverar OFAC, den nationella enheten mot cyberbrottslighet.
Det gapet på 48 dagar är lagligt enligt GDPR:s bokstav: förordningens 72-timmarsfrist gäller endast underrättelse till tillsynsmyndigheten, inte underrättelse till de berörda personerna, som endast är berättigade till ett avslöjande 'utan onödigt dröjsmål' när ett intrång innebär hög risk - en standard utan något fast antal dagar knutet till sig. Ministern för offentliga räkenskaper, David Amiel, bad därefter DGFiP att direkt underrätta de berörda skattebetalarna och föreslå förstärkta säkerhetsrutiner, men den begäran kom efter att angriparens eget inlägg hade tvingat fram myndighetens agerande, inte innan.
Böterna som inte gäller den som borde betala dem
Här är den asymmetri en privat aktör bör begrunda: enligt den franska lag som implementerar GDPR skulle ett företag som hanterade ett intrång som DGFiP gjorde - komprometterade tredjepartsuppgifter, veckor av tystnad, avslöjande först efter att angriparen själv gick ut offentligt - kunna drabbas av CNIL-böter på upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen för att inte ha underrättat berörda personer utan onödigt dröjsmål. Samma lagstiftning undantar uttryckligen 'behandlingar som utförs av staten' från dessa administrativa sanktioner. Mekanismen som ska göra snabbt avslöjande till en fråga om ekonomiskt egenintresse för varje företag som DGFiP reglerar finns helt enkelt inte för DGFiP självt.
Ett fackförbund inom den offentliga sektorn ställde precis den här frågan så snart intrånget blev offentligt: utan angriparens eget avslöjande, när och hur skulle de berörda skattebetalarna och företagen någonsin ha fått veta vad som hänt. Det är ingen hypotetisk fråga för de omkring 678 000 personer och företag som nu bär på en uppgift de inte hade för två månader sedan - och det är en direkt styrningslärdom för alla ägare som antar att en statlig motparts incitament vid hantering av data speglar dem som regleringen ålägger deras eget företag. Det gör de inte, och gapet sluts först när angriparen bestämmer sig för att tala. Alla företag vars SIREN-nummer och registrerade adress fanns i denna exponering bör betrakta de kommande veckorna som ett aktivt riskfönster för identitetsbedrägeri, inte som en avslutad incident, oavsett hur lång tid DGFiP självt tog på sig att säga det.
Läs vidare: Beacons dataintrång faller utanför alla skyddsnät | CEVA-läcka drabbar Steam-kunder i Europa
