פריצה לרשות המסים הצרפתית חושפת נתוני 678 אלף משלמי מסים; ראש הממשלה כינס דיון חירום

רשות המסים הצרפתית (DGFiP), המפעילה את אתר impots.gouv.fr, אישרה כי פרצו למערכותיה כבר בסוף יוני 2026 וגנבו נתונים על כ-678 אלף משלמי מסים — יחידים ועסקים. הרשות לא פרסמה הודעה כשהאירוע התגלה; הציבור נודע על הפריצה רק כאשר תוקף שמכנה עצמו ZeroBytes החל להציע את המידע למכירה בפורום פשיעת סייבר. הפרסום הוביל את ראש ממשלת צרפת, סבסטיאן לקורנו, לכנס דיון חירום עם השרים הרלוונטיים.

הפרטים

לפי הודעת משרד הכלכלה הצרפתי, הגישה הבלתי־מורשית זוהתה ונחסמה כבר בסוף יוני 2026 במסגרת בדיקת אבטחה שגרתית — אך המידע כבר הודלף עד אז. לטענת התוקף, נקודת הכניסה הייתה פרטי התחברות גנובים של עובד, ששימשו לגישה ל-VPN הארגוני ומשם לכלי חיפוש פנימי; יש גם טענה שטרם אומתה רשמית לעקיפת אימות דו-שלבי. המידע שנחשף כולל שמות, תאריכי לידה, כתובות, מספרי זיהוי לצרכי מס, כתובות דוא"ל, פרטי הרכב המשפחתי וסטטוס מס — ללא סיסמאות או פרטי חשבון בנק, לפי הדיווחים עד כה.

בנוסף, דווח על חדירה נפרדת לשרת נתוני הקדסטר (רישום נכסים) של הרשות, שחשפה כ-252 אלף רשומות הנוגעות ליותר משני מיליון בעלי נכסים. הפריצה היא החוליה האחרונה בשרשרת אירועי אבטחה שפגעו השנה בגופים ממשלתיים צרפתיים נוספים. בעקבות הדיון בהובלת לקורנו, הודיעה הממשלה על תוכנית להקמת רגולטור דיגיטלי חדש בשם ARIANE שיפעל תחת ראש הממשלה ישירות, כחלק מתוכנית השקעה של כ-200 מיליון יורו בחיזוק אבטחת המידע הממשלתית.

נקודות לשים לב

אל תסתמך רק על גילוי פנימי כדי להעריך את היקף נזק. הפריצה זוהתה ונחסמה כבר ביוני, אך התגלתה לציבור רק כשהתוקף פרסם את המידע למכירה — כלומר חסימת גישה טכנית לא מבטיחה שהיקף הדלף ידוע במלואו.
בדוק הפרדת הרשאות בין גישת VPN ארגונית לכלי חיפוש פנימיים רגישים. לפי הדיווחים, אישורי התחברות בודדים העניקו לתוקף גישה גם ל-VPN וגם לכלי חיפוש שחשף מידע על מיליוני אזרחים — שרשרת גישה כזו ראויה לבדיקה מחדש.
התייחס בזהירות לטענת עקיפת אימות דו-שלבי (MFA) — היא מגיעה מהתוקף וטרם אושרה רשמית, אך אם יש אצלך מערכות עם MFA מבוסס VPN בלבד, שווה לבחון גם ניטור התנהגות חריגה מעבר להזדהות עצמה.
אין כרגע עדות לדליפת סיסמאות או פרטי חשבון בנק — אל תסיק מהמקרה סיכון פיננסי ישיר, אלא בעיקר סיכון להנדסה חברתית ופישינג ממוקד באמצעות המידע האישי שנחשף.
אם הארגון שלך מטפל במידע אישי רגיש של אזרחים או לקוחות, המקרה הוא תזכורת לחשיבות דיווח מהיר ושקוף על אירועי אבטחה — הפער בין הגילוי הפנימי לפרסום הציבורי הוא שיצר חלק ניכר מהביקורת על הרשות הצרפתית.