ZeroBytes выставляет на продажу данные французского налогового ведомства: утечка DGFiP подтверждена - 678 000 пострадавших
12 августа 2026 года актор угроз под хендлом ZeroBytes разместил листинг на хакерском форуме PwnForums, предлагая к продаже базу данных, якобы украденную у французской Direction générale des Finances publiques (DGFiP) - ведомства, управляющего налоговой администрацией страны. Продавец заявлял доступ к инфраструктуре DGFiP с конца июня, полученный через украденные учётки в связке с обходом двухфакторной аутентификации, и предлагал и статичный дамп, и, по его словам, всё ещё живой доступ к французским налоговым системам. Спустя несколько дней министерство экономики и финансов Франции подтвердило неправомерный доступ к информационным системам DGFiP, затронувший около 678 000 физических лиц и организаций.
Что подтвердило министерство
Официальное заявление осторожнее форумного поста, и зазор между ними стоит держать в поле зрения. По министерству, скомпрометированные данные покрывают сведения о доходах, состав семьи, ставки удержания, названия компаний и регистрационные номера SIREN, кадастровые адреса и площади недвижимости. Ключевое: правительство подчеркнуло, что онлайн-аккаунты пользователей не затронуты и ни логины, ни пароли частных или профессиональных налогоплательщиков украдены не были. Как только неправомерный доступ был выявлен, DGFiP ограничила доступ к чувствительным информационным системам и запустила расследование совместно с ANSSI, национальным агентством кибербезопасности Франции. Регулятор по защите данных CNIL уведомлён, уведомления пострадавшим уходят по электронной и обычной почте с разъяснением, какие категории данных могли быть просмотрены и какие меры предосторожности стоит принять получателям. DGFiP также подала уголовную жалобу. Заявки продавца: без проверки
ZeroBytes рассказывает историю побольше министерской. В форумных постах он утверждает, что добрался до Serveur Professionnel de Données Cadastrales (SPDC) - профессионального портала доступа к централизованному земельному кадастру Франции, - и говорит, что портал содержал записи примерно о 20 миллионах граждан. Он заявляет, что извлёк 252 149 записей, затрагивающих более двух миллионов человек, прежде чем бросить полный скрейпинг как непрактично медленный, и что на момент поста всё ещё был залогинен в панель и готов продать этот доступ вместе с дампом (ZATAZ). Ни одна из этих цифр независимо не проверена, и до вердикта форензики их следует считать маркетингом. Число, имеющее официальный вес, - 678 000. Расхождение важно практически. Если реальная экспозиция измеряется миллионами, а не сотнями тысяч, объёмы уведомлений и фишинговый риск масштабируются соответственно. Но подпольные продавцы рутинно раздувают охват ради цены, а заявка о живом доступе не может быть проверена посторонними. Ей противоречит версия ведомства: каждый скомпрометированный аккаунт был отрезан при обнаружении, с наложением дополнительных контролов доступа. Почему налоговые данные продаются
Налоговые записи - в числе самых опасных датасетов, что могут ходить по криминальным рынкам, - именно из-за своей обыденности. Имя в связке со справочным облагаемым доходом, составом семьи и точной ставкой удержания позволяет мошеннику имперсонирувать налоговую с разрушительной убедительностью. Звонок или письмо с вашей реальной доходной вилкой и реальной ставкой prélèvement à la source не звучит как фишинг; оно звучит как Бercy. Для бизнеса названия компаний плюс номера SIREN открывают мошенничество со счетами и убедительные звонки в payroll и кредиторку. Кадастровые адреса и площади добавляют физическое измерение: у кого крупная или дорогая недвижимость и где эти люди живут. Это та же динамика, которую мы отмечали, когда записи немецкого бюро кредитных историй всплыли на подпольном форуме в начале этого лета; см. наш материал о якобы продаже базы SCHUFA. Финансовые и административные датасеты национального масштаба стали премиальным товаром на рынках европейских языков, а государственные институты теперь регулярные цели, а не исключения. Серийный актор со знакомым методом
ZeroBytes - не новичок. Публикации французских и российских СМИ привязывают тот же алиас к череде вторжений 2026 года против французских организаций, включая сеть супермаркетов, игровую платформу и спортивную федерацию, - все по однотипному playbook: украсть учётки сотрудника или авторизованного третьего лица, залогиниться через VPN во внутренний инструмент запросов, затем выкачивать данные запись за записью, оставаясь под порогами детекции, рассчитанными на массовые выгрузки (FrenchBreaches). Русскоязычное освещение резюмирует дело для широкой аудитории (Xakep), а англоязычные репортажи подтверждают цифру 678 000 и заявки про SPDC (BleepingComputer). Метод подсвечивает структурную слабость, общую для многих больших администраций: внутренние поисковые инструменты, построенные для легитимной административной работы, становятся эффективными экстракционными машинами, как только их единственный контроль - логин. Экфильтрация запрос за запросом почти по дизайну бьёт алертинг по объёму. За чем следить
Три вещи определят развитие истории. Первая: пересмотрит ли расследование ANSSI цифру 678 000 вверх по мере форензики или валидирует более крупную SPDC-нарративу продавца. Вторая: всплывёт ли какая-то часть дампа публично - это переключит инцидент с контролируемой продажи на сезон открытой охоты. Третья: к какому выводу придёт CNIL о таймлайне между вторжением конца июня и раскрытием, учитывая, что часы GDPR-уведомления о breach стартуют с осведомлённости о самом breach, а не с подтверждения ухода данных. Для получивших уведомление практический совет неизменен: относиться к письмам, звонкам и письмам на налоговую тему с повышенным подозрением, проверять любую просьбу независимо по официальным каналам и никогда не действовать по сменам платёжных или банковских реквизитов, инициированным незапрошенным контактом. Такой базе не нужно перепродаваться, чтобы навредить; одной копии в чужих руках хватит на очень убедительный фишинговый сезон.
