Datalek bij Franse belastingdienst

De aanval vond plaats in juni en juli 2026, maar werd pas halverwege augustus ontdekt nadat de cybercriminelen de inbreuk claimden. De aanvaller wist binnen te dringen door in te loggen met gestolen inloggegevens van een medewerker van de belastingdienst en een geautoriseerde derde partij.

Gevoelige fiscale informatie ingezien

Hoewel de belastingdienst de getroffen accounts na de eerste verdachte signalen direct blokkeerde, kon door de geavanceerde aard van de aanval niet meteen worden vastgesteld dat er data was ontvreemd. Uit diepgaand onderzoek bleek later dat er op grote schaal gevoelige informatie is geraadpleegd en geëxtraheerd.

Bij burgers gaat het om fiscale gegevens zoals het referentie-inkomen, de gezinssamenstelling en het geldende belastingtarief voor de bronbelasting. Van bedrijven zijn onder meer de handelsnaam en het inschrijfnummer ingezien. Ook zijn er kadastrale gegevens over adressen en de oppervlakte van vastgoed geëxtraheerd.

Geen inloggegevens van burgers buitgemaakt

De DGFiP benadrukt dat de persoonlijke online accounts van burgers en ondernemers niet zijn gecompromitteerd. Ook inloggegevens en wachtwoorden van belastingbetalers zijn niet in handen van de hackers gevallen.

In reactie op de ontdekking heeft de belastingdienst uit voorzorg de toegang tot een reeks gevoelige IT-systemen afgesloten. Er is inmiddels melding gemaakt bij de Franse privacytoezichthouder CNIL en de nationale cyberbeveiligingsdienst ANSSI is ingeschakeld voor het verdere onderzoek.

Slachtoffers worden vanaf volgende week persoonlijk per e-mail of brief geïnformeerd over welke specifieke gegevens zijn ingezien en welke veiligheidsmaatregelen zij moeten nemen. De Franse belastingdienst heeft aangekondigd formeel een strafrechtelijke klacht in te dienen.