Französische DGFiP gehackt: Steuerdaten von mehr als 600.000 Personen möglicherweise in den Händen eines Hackers

Unbefugter Zugriff Ende Juni

Das französische Wirtschaftsministerium hat eine Kompromittierung der Informationssysteme der Direction Générale des Finances Publiques (DGFiP) bestätigt, der für die Steuerverwaltung zuständigen Behörde des Landes.

Der unbefugte Zugriff soll Ende Juni erfolgt sein, nachdem die digitale Identität einer anderen Person entwendet oder missbraucht worden war. Der Eindringling wurde im selben Zeitraum entdeckt und blockiert. Anschließend verhängte die DGFiP zusätzliche Einschränkungen, um weitere unbefugte Zugriffe zu verhindern.

Der Vorfall wurde Anfang der Woche öffentlich, als ein Hacker die Operation für sich beanspruchte. Das Wirtschaftsministerium bestätigte den Vorfall anschließend offiziell in einer am Donnerstagabend veröffentlichten Mitteilung.

Der Angriff soll den Zugriff und die Extraktion von Informationen zu Privatpersonen und Unternehmen ermöglicht haben. Wie viele Betroffene tatsächlich involviert sind, welche Daten eingesehen und welche aus den Systemen der Behörde kopiert wurden, ist jedoch noch unklar.

Das Bekennerschreiben von ZeroBytes und potenziell offengelegte Daten

Laut FrenchBreaches wurde der Angriff von einem Hacker mit dem Alias ZeroBytes beansprucht. Der Akteur behauptet, Informationen zu mehr als 600.000 Personen erlangt zu haben.

Zu den in der Behauptung genannten Daten gehören:

• Namen;
• weitere personenbezogene Informationen;
• Steueridentifikationsnummern;
• E-Mail-Adressen;
• Familienverhältnisse;
• Angaben zum steuerlichen Status.

Die Behauptung wurde nicht unabhängig überprüft. Auch die Echtheit und Vollständigkeit der mutmaßlich gestohlenen Daten müssen noch geklärt werden.

FrenchBreaches berichtet außerdem, der Angreifer habe interne Server kompromittiert, eine Verbindung zum VPN der DGFiP herstellen können und ein internes Tool genutzt, um nach Informationen über Personen und Unternehmen zu suchen. Dieser Darstellung zufolge setzte sich die Exfiltration fort, bevor der Zugriff widerrufen wurde.

Die DGFiP hat den Angriff öffentlich keiner bestimmten Gruppe zugeschrieben und die Aussagen von ZeroBytes nicht bestätigt. Ebenfalls unbekannt sind die Versionen der betroffenen Systeme, der genaue technische Einstiegspunkt und der Name des möglicherweise verwendeten internen Tools.

Was noch geklärt werden muss

Die Untersuchung muss feststellen, ob der Angreifer die Daten lediglich eingesehen oder auch in größerem Umfang exportiert hat. Diese Unterscheidung ist relevant: Bereits die Offenlegung personenbezogener Informationen kann Risiken schaffen, doch eine kopierte und wiederverwendbare Datenbank erhöht die Wahrscheinlichkeit gezielter Kampagnen.

Steuerdaten sind für Betrüger und Akteure im Bereich Social Engineering besonders wertvoll. Eine Steueridentifikationsnummer in Verbindung mit Namen, E-Mail-Adresse und familiären Informationen kann gefälschte Nachrichten glaubwürdiger erscheinen lassen, die angeblich von Behörden, Banken oder Beratern stammen.

Bisher wurde keine formelle Bewertung des Schweregrads des Vorfalls veröffentlicht. Die Zahl von mehr als 600.000 Personen beruht auf einer Aussage des Angreifers und stellt keine von den Behörden bestätigte Zählung dar.

Die DGFiP teilte mit, dass sie die betroffenen Personen individuell kontaktieren werde. Die Benachrichtigungen sollen angeben, welche Datenkategorien möglicherweise betroffen sind und welche Vorsichtsmaßnahmen ergriffen werden sollten. Die Behörde kündigte außerdem eine Meldung an die französische Datenschutzaufsicht sowie die Einreichung einer Strafanzeige an.

Was potenziell betroffene Personen tun können

Wer eine Mitteilung von der DGFiP erhält, sollte deren Echtheit sorgfältig prüfen und keine in verdächtigen Nachrichten enthaltenen Links oder Telefonnummern verwenden. Offengelegte Steuerdaten können für sehr individuell gestaltete Phishing-E-Mails missbraucht werden und nicht nur für allgemeinen Spam.

Empfehlenswert ist es:

• dringenden Zahlungsaufforderungen oder Anfragen nach Steuerunterlagen zu misstrauen;
• Passwörter, Einmalcodes oder Bankdaten niemals per E-Mail oder Telefon weiterzugeben;
• öffentliche Onlinedienste aufzurufen, indem die offizielle Adresse manuell eingegeben wird;
• Mitteilungen zu Steuern, Rückerstattungen und Verwaltungsverfahren besonders aufmerksam zu prüfen;
• wiederverwendete Passwörter bei mehreren Diensten zu ändern;
• die Multi-Faktor-Authentifizierung zu aktivieren, sofern verfügbar;
• erhaltene Mitteilungen der DGFiP aufzubewahren und mit späteren Kontaktaufnahmen abzugleichen.

Es ist nicht bekannt, ob Authentifizierungsdaten oder Zugangsdaten von Nutzern offengelegt wurden. Daher lässt sich auf Grundlage der verfügbaren Informationen nicht feststellen, ob alle Empfänger ihre Passwörter ändern oder bestimmte Maßnahmen ergreifen sollten. Die individuellen Hinweise der Behörde werden entscheidend sein.

Unternehmen sollten die Mitarbeiter informieren, die Steuerangelegenheiten und Zahlungen bearbeiten. Ein Angreifer, der über echte Daten verfügt, könnte versuchen, Bankverbindungen zu ändern, Rückerstattungsanträge zu fälschen oder sich als bekannte Kontaktperson auszugeben.

Ein weiterer Vorfall in einer Reihe von Angriffen auf französische Behörden

Die Kompromittierung der DGFiP reiht sich in eine Serie von Vorfällen ein, die in diesem Jahr französische öffentliche Einrichtungen getroffen haben.

Im April nahmen Angreifer die Website der Agence Nationale des Titres Sécurisés (ANTS) ins Visier, der für Vorgänge im Zusammenhang mit Reisepässen, Personalausweisen, Aufenthaltstiteln und Führerscheinen zuständigen Behörde. Im selben Monat meldete das Bildungsministerium einen Angriff auf ein System zur Verwaltung von Schülerkonten, bei dem personenbezogene Informationen offengelegt wurden.

Im Februar war ein Teil des National Bank Accounts File betroffen, einer Datenbank mit in Frankreich geführten Bankkonten. Der Vorfall betraf Informationen zu rund 1,2 Millionen Konten innerhalb eines Archivs, das mehr als 300 Millionen Datensätze enthält.

Zu Beginn des Jahres nahm die Polizei außerdem einen 20-jährigen Mann fest, der verdächtigt wird, Dutzende Angriffe auf Regierungsbehörden, Sportverbände und private Unternehmen durchgeführt zu haben. Ein öffentlicher Zusammenhang zwischen dieser Festnahme und der Kompromittierung der DGFiP wurde bislang nicht festgestellt.

Der aktuelle Fall verdeutlicht erneut die Risiken im Zusammenhang mit privilegierten Konten und kompromittierten digitalen Identitäten. Auch ohne eine öffentlich bekannte Software-Schwachstelle kann der Diebstahl oder Missbrauch einer Identität den Zugang zu internen Systemen, VPNs und Suchtools ermöglichen, die hochsensible Informationen enthalten.