Bei diesem Datenleck wurden keine Passwörter gestohlen - und das ist nicht die Beruhigung, nach der es klingt
Das französische Finanzministerium hat bestätigt, dass sich jemand Zugang zu den Systemen der DGFiP, seiner Steuerbehörde, verschafft und Daten von 678.000 Personen und Unternehmen entwendet hat. Ein raffinierter Exploit war dabei nicht im Spiel. Der Eindringling nutzte die Zugangsdaten eines Finanzamt-Mitarbeiters und eines externen Auftragnehmers, verband sich mit dem VPN der Behörde und stellte Abfragen über ein internes Suchwerkzeug. Das war Ende Juni, am 26. Es wurde damals entdeckt und unterbunden und blieb bis dahin unbemerkt, bis ein Verkäufer mit dem Namen "ZeroBytes" die Datenbank am 12. August in einem Hackerforum anbot.
Das Ministerium stellt klar, dass Benutzerkennungen, Passwörter und Online-Konten nicht kompromittiert wurden. Schauen Sie sich nun an, was tatsächlich betroffen war: Namen, Geburtsdaten, Adressen, Telefonnummern, familiäre Verhältnisse, das steuerpflichtige Referenzeinkommen und der Quellensteuersatz, dazu Firmennamen und Grundbuchdaten samt Adressen und Grundstücksgrößen. Der Verkäufer behauptet zusätzlich, weitere 252.149 Grundbuchdatensätze zu besitzen, die mehr als zwei Millionen Menschen betreffen - das hat das Ministerium bislang nicht bestätigt.
Für einen Betrüger ist diese Liste erheblich mehr wert als ein Passwort. Wer bereits Ihre Adresse, Ihre Haushaltssituation und Ihr tatsächliches steuerpflichtiges Einkommen kennt, muss sich nicht anstrengen, um seriös zu klingen. Und der Zeitplan macht es noch brisanter: Das Ministerium teilt mit, es werde nächste Woche beginnen, Betroffene per E-Mail oder Brief zu kontaktieren. Wer die Nachrichten jetzt verfolgt, hat sowohl ein fertiges Drehbuch als auch einen plausiblen Grund, Ihnen einen Link zu schicken.
Das ergibt eine einfache Regel für die nächsten Wochen. Wenn eine Nachricht zu Ihrer Steuerakte auftaucht, ignorieren Sie den enthaltenen Link und die Telefonnummer, egal wie offiziell der Briefkopf wirkt. Öffnen Sie Ihren Browser, geben Sie die Adresse der Steuerbehörde selbst ein und melden Sie sich wie gewohnt an. Echte Rückerstattungen kosten nie eine Gebühr, und echte Finanzämter erfragen keine Kartennummern am Telefon.
Tendvanes Datenschutz- und Konten-Check zeigt, welche Ihrer E-Mail-Adressen bereits in bekannten Datenlecks aufgetaucht sind - ein nützlicher Anhaltspunkt dafür, wie viel von Ihnen schon kursiert, bevor die überzeugende E-Mail eintrifft.