W tym wycieku nie skradziono żadnych haseł - i to wcale nie jest tak uspokajające, jak brzmi

Francuskie ministerstwo finansów potwierdziło, że ktoś włamał się do systemów DGFiP, czyli francuskiej administracji podatkowej, i wyciągnął dane należące do 678 000 osób i firm. Nie było w tym żadnego wyrafinowanego exploita. Intruz użył danych logowania pracownika urzędu skarbowego oraz zewnętrznego kontrahenta, połączył się z VPN-em urzędu i wykonywał zapytania za pomocą wewnętrznego narzędzia wyszukiwania. Miało to miejsce pod koniec czerwca, 26 dnia tego miesiąca. Włamanie wykryto i przerwano na bieżąco, i sprawa pozostawała nieznana publicznie, dopóki sprzedawca posługujący się pseudonimem "ZeroBytes" nie wystawił bazy danych na forum hakerskim 12 sierpnia.

Ministerstwo jasno stwierdza, że identyfikatory użytkowników, hasła i konta internetowe nie zostały naruszone. Spójrzmy teraz na to, co jednak wyciekło: nazwiska, daty urodzenia, adresy, numery telefonów, sytuację rodzinną, referencyjny dochód podlegający opodatkowaniu i stawkę podatku pobieranego u źródła, a także nazwy firm oraz rejestry nieruchomości, w tym adresy i wielkości działek. Sprzedawca twierdzi ponadto, że dysponuje dodatkowymi 252 149 rekordami z rejestru gruntów obejmującymi ponad dwa miliony osób, czego ministerstwo nie potwierdziło.

Dla oszusta taka lista jest warta znacznie więcej niż hasło. Ktoś, kto już zna twój adres, sytuację twojego gospodarstwa domowego i twój rzeczywisty dochód podlegający opodatkowaniu, nie musi się starać, by zabrzmieć wiarygodnie. Kalendarz czyni sprawę jeszcze bardziej niebezpieczną: ministerstwo zapowiada, że w przyszłym tygodniu zacznie kontaktować się z osobami dotkniętymi wyciekiem, mailowo lub listownie. Każdy, kto śledzi te wiadomości, ma teraz zarówno gotowy scenariusz, jak i wiarygodny pretekst, by przesłać ci link.

Daje ci to prostą zasadę na najbliższe tygodnie. Jeśli dostaniesz wiadomość dotyczącą twojej sprawy podatkowej, zignoruj zawarty w niej link i numer telefonu, bez względu na to, jak oficjalnie wygląda nagłówek. Otwórz przeglądarkę, sam wpisz adres urzędu skarbowego i zaloguj się tak, jak robisz to zawsze. Prawdziwe zwroty podatku nigdy nie wiążą się z opłatą, a prawdziwe urzędy skarbowe nie zbierają numerów kart telefonicznie.

Funkcja Prywatność i konta w Tendvane pokazuje, które z twoich adresów e-mail pojawiły się już w znanych wyciekach danych - to przydatna wskazówka, ile informacji o tobie już krąży, zanim dotrze przekonujący e-mail.