De Franse belastingdienst is het slachtoffer geworden van een cyberaanval waarbij persoonsgegevens zijn blootgesteld van ongeveer 678.000 belastingbetalers, zo hebben de autoriteiten deze week bevestigd. De inbreuk trof zowel particuliere als zakelijke belastingbetalers en heeft geleid tot een onderzoek naar de manier waarop aanvallers toegang kregen tot de systemen van de overheid.

Het incident voedt de toenemende zorgen over cyberbeveiliging in de Franse publieke sector. Het staatsarbeidsbureau France Travail maakte in maart 2024 bekend dat een datalek gegevens had blootgesteld van ongeveer 10 miljoen huidige en voormalige werkzoekenden, en Franse ziekenhuizen, waaronder instellingen in Dax en Corbeil-Essonnes, zijn de afgelopen jaren slachtoffer geworden van ransomware. De autoriteiten zijn nu bezig vast te stellen welke informatie de aanvallers precies hebben bemachtigd en of de gestolen gegevens kunnen worden gebruikt voor verdere fraude of identiteitsdiefstal.

Onderzoek loopt

Het directoraat-generaal voor de openbare financiën, de Franse belastingautoriteit, ontdekte het incident nadat aanvallers ongeautoriseerde toegang hadden gekregen tot een intern systeem. Volgens berichten vond de inbreuk plaats in juni, terwijl de gestolen informatie in augustus publiek aan het licht kwam.

De Franse autoriteiten hebben de toegang tot de getroffen systemen beperkt en technisch onderzoek ingesteld. Zij beoordelen daarnaast de omvang van de gestolen informatie voordat zij getroffen belastingbetalers informeren over de specifieke risico's en beschermende maatregelen. Als overheidsinstantie valt de belastingautoriteit onder de Algemene Verordening Gegevensbescherming van de EU, die vereist dat in aanmerking komende datalekken binnen 72 uur worden gemeld aan de CNIL, de Franse toezichthouder voor gegevensbescherming, en dat betrokken personen rechtstreeks worden geïnformeerd wanneer het risico voor hen hoog is.

Het incident volgt enkele maanden op een ander beveiligingsincident waarbij de nationale database met bankrekeningen van de belastingautoriteit betrokken was. Bij dat eerdere incident werden mogelijk gegevens blootgesteld die verband houden met ongeveer 1,2 miljoen rekeningen, nadat een aanvaller gebruikmaakte van gestolen inloggegevens van een overheidsmedewerker.

Cyberbeveiligingsrisico's nemen toe

De nieuwste inbreuk zou het risico op phishing, identiteitsfraude en andere vormen van financiële oplichting gericht op belastingbetalers kunnen vergroten. De Franse cyberbeveiligingsautoriteiten hebben al gewaarschuwd dat criminelen vaak misbruik maken van belastinggerelateerde gebeurtenissen door valse berichten te sturen waarin om persoonlijke of bankgegevens wordt gevraagd, en belastingbetalers kunnen de echtheid van communicatie controleren via hun persoonlijke ruimte op het officiële portaal impots.gouv.fr.

Voor bedrijven en particulieren onderstreept het incident de financiële risico's die ontstaan wanneer overheidsdatabases tot doelwit worden. Gestolen belastinggegevens kunnen criminelen geloofwaardige details verschaffen voor zeer overtuigende fraudepogingen.

De autoriteiten hebben de volledige aard van de gecompromitteerde informatie en de exacte toegangsmethode die de aanvallers gebruikten nog niet bekendgemaakt. De uiteindelijke financiële impact blijft onduidelijk zolang de onderzoeken lopen.