ZeroBytes verkoopt gegevens van de Franse belastingdienst: DGFiP-lek bevestigd met 678.000 getroffenen
Op 12 augustus 2026 plaatste een dreigingsactor die opereerde onder de handle ZeroBytes een listing op het hackforum PwnForums met daarin een database te koop aangeboden die beweerd gestolen te zijn van de Franse Direction générale des Finances publiques (DGFiP), het agentschap dat de belastingadministratie van het land runt. De verkoper claimde toegang tot DGFiP-infrastructuur sinds eind juni, verkregen via gestolen inloggegevens gecombineerd met een bypass van tweefactorauthenticatie, en bood zowel een statische dump als wat hij beschreef als nog levende toegang tot Franse belastingsystemen. Dagen later bevestigde het Franse ministerie van Economie en Financiën onrechtmatige toegang tot DGFiP-informatiesystemen waar ongeveer 678.000 personen en organisaties door getroffen zijn.
Wat het ministerie bevestigde
De officiële verklaring is bedachtzamer dan het forumbericht, en de kloof tussen beide verdient het om zichtbaar te blijven. Volgens het ministerie omvatten de gecompromitteerde gegevens inkomensinformatie, gezinssamenstelling, bronbelastingtarieven, bedrijfsnamen en SIREN-registratienummers, kadastrale adressen en oppervlakten van eigendommen. Cruciaal: de regering benadrukte dat onlineaccounts van gebruikers niet getroffen waren en dat geen enkele gebruikersnaam of wachtwoord van privé- of zakelijke belastingbetalers gestolen werd. Zodra de onrechtmatige toegang geïdentificeerd was, beperkte DGFiP de toegang tot zijn gevoelige informatiesystemen en startte samen met ANSSI, het Franse nationale cyberveiligheidsagentschap, een onderzoek. De toezichthouder CNIL is op de hoogte gebracht, en slachtoffermeldingen gaan per e-mail en post de deur uit, waarin uiteengezet wordt welke gegevenscategorieën mogelijk bekeken zijn en welke voorzorgsmaatregelen ontvangers moeten nemen. DGFiP heeft bovendien aangifte gedaan. De claims van de verkoper, ongeverifieerd
ZeroBytes vertelt een groter verhaal dan het ministerie. In zijn forumberichten beweert hij het Serveur Professionnel de Données Cadastrales (SPDC) bereikt te hebben, het professionele portaal dat toegang geeft tot het gecentraliseerde kadaster van Frankrijk, en zegt hij dat dat portaal registraties bevatte over circa 20 miljoen burgers. Hij verklaart 252.149 registraties te hebben geëxtraheerd die meer dan twee miljoen mensen raken, voordat hij het volledige scrapen als onpraktisch traag opgaf, en dat hij op het moment van posten nog ingelogd was op het paneel en bereid die toegang samen met de dump te verkopen (ZATAZ). Geen van deze cijfers is onafhankelijk geverifieerd, en ze moeten als marketing behandeld worden tot de forensica anders zegt. Het cijfer met officieel gewicht is 678.000. De discrepantie telt praktisch. Zou de werkelijke blootstelling in miljoenen in plaats van honderdduizenden gemeten worden, dan schalen meldvolumes en phishingrisico mee. Maar underground-verkopers blazen bereik routinematig op om prijzen op te drijven, en een claim van levende toegang kan door buitenstaanders niet getest worden. Zij botst met de lezing van het agentschap: elk gecompromitteerd account werd bij detectie afgekoppeld, met extra toegangscontroles sindsdien. Waarom belastinggegevens verkopen
Belastingdossiers behoren tot de gevaarlijkste datasets die op criminele markten kunnen circuleren, juist omdat ze zo gewoon ogen. Een naam gecombineerd met referentie belastbaar inkomen, gezinssamenstelling en een exacte bronbelastingtarief laat een fraudeur de belastingautoriteit imiteren met verwoestende geloofwaardigheid. Een telefoontje of e-mail dat je echte inkomensband en je echte prélèvement à la source-tarief citeert, klinkt niet als phishing; het klinkt als Bercy. Voor bedrijven maken bedrijfsnamen plus SIREN-nummers factuurfraude en overtuigende telefoontjes naar salaris- en crediteurenadministraties mogelijk. Kadastrale adressen en eigendomsoppervlakten voegen een fysieke dimensie toe: wie grote of waardevolle onroerende goederen bezit en waar die mensen wonen. Dit is dezelfde dynamiek die we signaleerden toen Duitse kredietbureaudossiers eerder deze zomer op een ondergronds forum verschenen; zie onze berichtgeving over de vermeende verkoop van de SCHUFA-database. Financiële en administratieve datasets op nationale schaal zijn premiumhandelswaar geworden in Europese talen-markten, en staatsinstellingen zijn nu regelmatige doelwitten in plaats van uitzonderingen. Een seriële actor met een vertrouwde methode
ZeroBytes is geen nieuwkomer. Berichtgeving in Franse en Russische media koppelt hetzelfde alias aan een reeks intrusies in 2026 tegen Franse organisaties, waaronder een supermarktketen, een gamingplatform en een sportfederatie, allemaal volgens een consistent playbook: inloggegevens van een medewerker of geautoriseerde derde stelen, via een VPN in een interne querytool inloggen, en dan gegevens record voor record extraheren om onder detectiedrempels te blijven die op bulkdownloads zijn ontworpen (FrenchBreaches). Russischtalige berichtgeving vat de zaak samen voor een breder publiek (Xakep), terwijl Engelstalige berichtgeving het cijfer van 678.000 en de SPDC-claims bevestigt (BleepingComputer). De methode belicht een structurele zwakte die veel grote besturen delen: interne zoektools gebouwd voor legitiem administratief werk worden efficiënte extractiemachines zodra hun enige controle een login is. Exfiltratie query voor query verslaat volumegebaseerde alarmering bijna by design. Waarop te letten
Drie dingen bepalen hoe dit verhaal verdergaat. Ten eerste of ANSSI’s onderzoek het cijfer van 678.000 naar boven bijstelt terwijl de forensica doorloopt, of de grotere SPDC-narratief van de verkoper valideert. Ten tweede of enig deel van de dump publiek opduikt, wat het incident van een gecontroleerde verkoop naar vrijjacht zou verschuiven. Ten derde tot welke conclusie CNIL komt over de tijdlijn tussen de intrusie eind juni en de openbaarmaking, gegeven dat GDPR-meldklokken voor breaches starten bij kennis van de breach zelf, niet bij bevestiging dat data vertrokken zijn. Voor wie bericht krijgt, blijft het praktische advies onveranderd: behandel belastingthematische e-mails, telefoontjes en brieven met verhoogd wantrouwen, verifieer elk verzoek onafhankelijk via officiële kanalen, en handel nooit op betalings- of bankgegevenswijzigingen aangejaagd door ongevraagd contact. Zo’n database hoeft niet doorverkocht te worden om schade aan te richten; één kopie in verkeerde handen volstaat om een zeer overtuigend phishingseizoen te voeden.
