ZeroBytes 出售法国税务机关数据:DGFiP 泄露确认,68 万人受影响
2026年8月12日,一名化名ZeroBytes的威胁行为者在PwnForums黑客论坛挂出交易帖,出售一份据称从法国税务总局(DGFiP)窃取的数据库——DGFiP正是运营该国税收行政的机构。卖家声称自6月底以来持有DGFiP基础设施访问权,通过窃取凭据加上两步验证绕过获得,并同时提供静态dump和他所称的仍然在线的法国税务系统访问。数日后,法国经济与财政部确认存在非法访问,DGFiP信息系统受影响者约678,000名个人与组织。
部里确认了什么
官方声明比论坛帖克制得多,两者之间的落差值得保持关注。据部委,被入侵的数据涵盖收入信息、家庭构成、代扣税率、公司名称与SIREN注册号、地籍地址以及不动产面积。关键在于:政府强调,用户的在线账户未受影响,个人或企业纳税人没有任何用户名或密码被盗。 非法访问一经确认,DGFiP便限制了对敏感信息系统的访问,并与法国国家网络安全局ANSSI共同启动调查。数据保护机构CNIL已获通报,给受害者的通知正通过电子邮件与信函发出,说明哪些类别的数据可能被查看以及收件人应采取哪些预防措施。DGFiP还提起了刑事控告。 卖家的宣称:未经核实
ZeroBytes讲的故事比部里更大。在论坛帖中,他声称触及了Serveur Professionnel de Données Cadastrales(SPDC)——提供法国集中式土地登记访问的专业门户——并说该门户持有约2,000万公民的记录。他声称在放弃完整抓取(慢得不切实际)之前提取了252,149条记录,涉及逾两百万人;发帖时他仍登录在面板中,愿意连同dump一起出售该访问权(ZATAZ)。这些数字没有任何一个经过独立核实,在取证给出别的说法之前,应将其视为营销。具有官方分量的数字是678,000。 这种出入在实践中有分量。如果真实暴露以百万而非十万计,通知量与钓鱼风险都会相应放大。但地下卖家为抬价例行夸大声称的规模,而"在线访问"的宣称外人无法检验。它面对的是该机构的说法:每个被入侵的账户都在发现时被切断,并已施加额外访问控制。 税务数据为何卖得掉
税务记录之所以属于犯罪市场上流通的最危险数据集,恰恰因为它看起来太普通。把一个名字与参考应税收入、家庭构成和精确的代扣率配对,骗子就能以毁灭性的可信度冒充税务机关。一通或一封报出你真实收入区间与真实prélèvement à la source税率的电话或邮件,听起来不像钓鱼;听起来像 Bercy。对企业而言,公司名加SIREN号使发票欺诈成为可能,还能对薪资与应付账款人员打出一通通可信电话。地籍地址与不动产面积则增加了物理维度:谁拥有大而值钱的物业、这些人住在哪里。 这与我们今夏早些时候注意到、德国征信记录出现在地下论坛时的那套动态如出一辙;参见我们关于据称的SCHUFA数据库出售的报道。国家级的金融与行政数据集已成为欧洲语言市场上的溢价商品,国家机构如今是常规目标,而非例外。 惯犯手法熟悉的连环行为者
ZeroBytes不是新手。法国与俄语媒体的报道把同一个化名与2026年针对法国机构的一系列入侵相连:一家超市连锁、一个游戏平台、一个体育联合会——全都遵循同一套剧本:窃取某员工或授权第三方的凭据,经VPN登录内部查询工具,然后一条记录一条记录地抽取数据,保持在为抓批量下载而设计的检测阈值之下(FrenchBreaches)。俄语报道为更广的读者总结此案(Xakep),英语报道则确认678,000这一数字与SPDC宣称(BleepingComputer)。 该手法揭示了许多大型行政机构共有的结构性弱点:为合法行政工作而建的内部检索工具,一旦其唯一控制是登录,就会变成高效的抽取引擎。查询式外泄几乎按设计击败基于流量的告警。 值得关注的走向
三件事将塑造这起故事的走向。第一,ANSSI的调查会否随着取证推进把678,000上调,或验证卖家更大的SPDC叙事。第二,dump的任何部分会不会公开浮出——那会把事件从受控出售变成敞开式滥用。第三,CNIL会就6月底入侵到披露之间的时间线得出什么结论——考虑到GDPR的数据泄露通报时钟自"知悉泄露本身"起跳,而不是从确认数据已离开起跳。 对收到通知的人,实操建议未变:以更高的怀疑对待税务主题的邮件、电话与信函,通过官方渠道独立核实任何请求,绝不根据未经请求的联络去执行付款或银行信息变更。这样的数据库无需转售就能造成伤害;错误的手里只要一份副本,就足以支撑一个非常像样的钓鱼季。
