Dlaczego hakerzy wolą dane podatkowe od gotówki? Francja już wie, jak wygląda „cyfrowy efekt domina”

Audio generowane przez AI. Może zawierać błędy.

Francuski fiskus znalazł się w centrum jednego z najpoważniejszych wycieków danych w kraju. Około 678 tys. podatników i firm padło ofiarą włamania do systemów Generalnej Dyrekcji Finansów Publicznych (DGFiP). Hakerzy uzyskali dostęp dzięki przejęciu danych uwierzytelniających pracownika oraz danych uwierzytelniających osoby trzeciej mającej uprawniony dostęp do systemu. Wyciekły m.in. numery podatkowe, imiona i nazwiska, adresy, numery telefonów i adresy e-mail, informacje o sytuacji rodzinnej, liczbie osób na utrzymaniu, dochodzie podatkowym i stawce podatku, a także historia korespondencji z administracją podatkową.

Francuski fiskus zapewnia, że hakerzy nie przejęli haseł ani nie zdobyli dostępu do indywidualnych kont na impots.gouv.fr. Nie wyciekły również same deklaracje i decyzje podatkowe. Problem w tym, że tak szczegółowy profil podatnika jest dla przestępców gotowym zestawem informacji do prowadzenia kolejnych ataków: phishingu, kradzieży tożsamości i wyłudzeń, a w przypadku zamożniejszych osób nawet do fizycznego namierzania. Takie przypadki zdarzały się już m.in. po kradzieżach kryptowalut.

W Polsce w tym samym czasie, gdy Francja mierzy się z kradzieżą danych podatników, ujawniono incydent o jeszcze większej skali. Cyberatak na firmę medyczną MyDr mógł doprowadzić do wycieku danych blisko 19 mln Polaków – ponad połowy mieszkańców kraju. Z zaatakowanej infrastruktury miała zostać wykradziona baza o rozmiarze ponad 2 TB, zawierająca nie tylko podstawowe dane identyfikacyjne i numery PESEL, ale także informacje o zdrowiu, wizytach lekarskich, receptach i przyjmowanych lekach. To szczególnie niebezpieczny rodzaj danych – w rękach oszustów może posłużyć nie tylko do kradzieży tożsamości, lecz także do bardzo wiarygodnego phishingu lub szantażu.

Polski przypadek pokazuje ten sam problem, który widać we Francji: najcenniejszym łupem hakerów coraz częściej nie są pieniądze, lecz informacje, które pozwalają później dobrać się do pieniędzy – albo bezpośrednio do człowieka.

Nie trzeba już kraść pieniędzy. Wystarczy ukraść dane

Najbardziej niepokojące w najnowszych francuskich cyberatakach nie jest to, że hakerzy potrafią włamać się do systemu państwowego. Takich włamań było już tysiące. Znacznie ważniejsze jest to, co później robią ze skradzionymi informacjami. Nazwisko. Adres. Numer telefonu. Dochód. Sytuacja rodzinna. Informacje podatkowe. Historia kontaktów z urzędem. Dane zawodowe. Informacje o dzieciach. Wszystko to można połączyć w cyfrowy profil człowieka, który następnie trafia na rynek. I dlatego przypadek ZeroBytes jest szczególnie interesujący.

Pseudonim tej grupy pojawił się publicznie latem 2026 r., ale w ciągu kilku tygodni zaczęto go łączyć z całą serią włamań: do Intermarché Drive, Bureau Vallée, Francuskiej Federacji Piłki Ręcznej, Agencji ds. Edukacji Francuskiej za Granicą, a następnie administracji podatkowej.

Nie wszystkie te włamania zostały niezależnie potwierdzone. To ważne zastrzeżenie. W świecie cyberprzestępczości samo opublikowanie danych lub zrzutów ekranu nie dowodzi, że osoba reklamująca włamanie rzeczywiście go dokonała. Kradzież danych z francuskiego fiskusa została natomiast potwierdzona przez administrację.

„Szukam, znajduję i robię”

ZeroBytes przedstawia się jako grupa składająca się z dwóch osób. Nie wiadomo, kim są jej członkowie, gdzie mieszkają ani jakie mają obywatelstwo. W rozmowie z serwisem FrenchBreaches jeden z cyberprzestępców miał powiedzieć, że jego podstawową motywacją są pieniądze. Nie deklaruje więc ideologii, politycznych celów ani wojny z państwem. „Jeśli wszystko można sprzedać, zbieram wszystko” – stwierdził haker.

Według doniesień hakerzy podrobili stronę logowania do francuskiego fiskusa i wykorzystali lukę w nieaktualizowanym systemie. Przejęli też konto administratora. Potem rozpoczęła się najcenniejsza część operacji: eksfiltracja, czyli stopniowe wyprowadzanie danych z systemu. To właśnie ten etap szczególnie niepokoi francuską Agencję ds. Bezpieczeństwa Systemów Informatycznych (ANSSI).

W raporcie dotyczącym cyberzagrożeń w 2025 r. ANSSI zwraca uwagę na zmianę modelu działania przestępców: spada znaczenie klasycznych ataków ransomware, rośnie natomiast rola samej kradzieży danych. Przestępcy coraz częściej nie muszą blokować systemu i żądać okupu. Wystarczy, że ukradną informacje i znajdą na nie kupca. To znacznie bardziej dyskretny biznes. Firma może przez pewien czas normalnie funkcjonować, urząd może nie zauważyć, że ktoś kopiuje jego dane, a ofiara dowie się o kradzieży dopiero wtedy, gdy kilka tygodni później zadzwoni do niej oszust.

6,3 mln czy 678 tys.?

Właśnie tutaj zaczyna się problem z ZeroBytes. Administracja podatkowa mówi o około 678 tys. osób i firm. Cyberprzestępca twierdzi, że skala kradzieży była znacznie większa. Według materiałów opublikowanych przez FrenchBreaches miał uzyskać dostęp do środowiska zawierającego ponad 6,3 mln wniosków kierowanych do administracji podatkowej.

Na zrzutach ekranu miały znajdować się informacje pozwalające odtworzyć niezwykle szczegółowy obraz podatnika: numer podatkowy, dane osobowe, adres, sytuację rodzinną, dochody, stawkę podatku oraz historię korespondencji z administracją. Tutaj trzeba jednak zachować ostrożność.

6,3 mln rekordów nie oznacza 6,3 mln ofiar. Ta sama osoba może występować w wielu plikach. Czym innym jest dostęp do bazy, czym innym obejrzenie części danych, a jeszcze czym innym ich faktyczne skopiowanie. To rozróżnienie ma znaczenie także przy ocenie kolejnych deklaracji ZeroBytes.

Kilka dni później cyberprzestępca skierował uwagę na jeszcze większy cel: francuskie Ministerstwo Edukacji. Ministerstwo potwierdziło pod koniec lipca, że doszło do nielegalnego włamania do jednego z systemów. Dostęp został odcięty, uruchomiono komórkę kryzysową, złożono zawiadomienie, a do sprawy włączono ANSSI i CNIL. ZeroBytes twierdzi jednak, że jego dostęp był znacznie szerszy.

Według danych przekazanych portalowi miał przejąć około 43 GB danych w około 2,5 tys. plikach. Wśród rzekomo skradzionych informacji mają się znajdować dane uczniów, nauczycieli, użytkowników kont akademickich, rodziców i opiekunów. Niektóre pliki miały pochodzić jeszcze z początku XXI wieku.

Ani ta skala, ani deklarowane 346 mln rekordów nie zostały dotychczas niezależnie potwierdzone przez francuskie Ministerstwo Edukacji. To jedna z najważniejszych zasad przy opisywaniu współczesnych wycieków: haker może mówić prawdę, przesadzać albo sprzedawać częściowo prawdziwą bazę jako znacznie większą. Dla przestępczego rynku nawet fragment autentycznych danych może jednak mieć wartość.

Francja już wie, jak wygląda „cyfrowy efekt domina”

Jednym z najbardziej spektakularnych przykładów wykorzystania skradzionych danych jest historia Francuskiej Federacji Strzelectwa. W październiku 2025 r. doszło do włamania do jej systemów. Skradzione dane obejmowały m.in. imiona, nazwiska, daty i miejsca urodzenia, adresy, numery telefonów, adresy e-mail i numery licencji. Federacja podkreślała, że nie posiada danych dotyczących broni używanej przez członków, więc takie informacje nie mogły zostać wykradzione z jej systemu.

Mimo to, przejęte informacje wystarczyły przestępcom. Wkrótce pojawiły się przypadki osób podszywających się pod policjantów, żandarmów czy celników i próbujących dostać się do domów strzelców sportowych. Scenariusz był niemal filmowy.

Przestępcy mieli przedstawiać się jako funkcjonariusze i informować właściciela, że z powodu problemu administracyjnego muszą odebrać jego broń. W jednym z najbardziej spektakularnych przypadków w Nicei dwaj fałszywi policjanci pojawili się w domu strzelca sportowego i doprowadzili do wydania im broni oraz amunicji. W sprawie interweniował oddział antyterrorystyczny RAID, a kilka osób zostało zatrzymanych.

Dane są jak mapa do człowieka

Dlaczego dane podatkowe są szczególnie cenne? Sam adres nie mówi przestępcy wiele. Adres połączony z numerem telefonu daje już więcej informacji. Jeśli dołożymy informacje o rodzinie, powstanie szczegółowy profil. Dochód podatkowy dodany do tego zestawu umożliwia również selekcję potencjalnych ofiar.

Francuski ekspert ds. cyberbezpieczeństwa, Baptiste Robert, zwraca uwagę, że szczególnie niebezpieczna jest właśnie informacja o dochodzie podatkowym połączona z adresem. Potencjalnie pozwala określić, kto może być atrakcyjnym celem dla kolejnych przestępców. Nie chodzi wyłącznie o phishing. Skradziona baza może zostać sprzedana komuś, kto zajmuje się kradzieżą danych, wyłudzeniami lub oszustwami telefonicznymi. Może posłużyć do przygotowania telefonu od „banku”, SMS-a od „fiskusa” czy e-maila od „ubezpieczyciela”. Oszust może podszywać się pod policjanta, lekarza albo kuriera.

Im więcej prawdziwych informacji posiada przestępca, tym łatwiej przekonać ofiarę, że po drugiej stronie znajduje się naprawdę znana jej instytucja. Dlatego wycieki danych podatkowych i medycznych są szczególnie niebezpieczne.

Francuzi już to widzą w statystykach

Francuska platforma Cybermalveillance.gouv.fr odnotowała w 2025 r. ponad 500 tys. osób, którym udzielono pomocy w związku z cyberprzestępstwami – o 20 proc. więcej niż rok wcześniej. Jednocześnie liczba zgłoszeń związanych z naruszeniem danych osobowych wzrosła aż o 107 proc.

Wśród osób prywatnych phishing odpowiadał za prawie jedną trzecią wszystkich próśb o pomoc i był najczęściej spotykaną formą cyberprzestępczości. Na drugim miejscu znalazło się przejmowanie kont. Wycieki danych zajęły trzecie miejsce, odpowiadając za 6,6 proc. zgłoszeń. Najważniejsze jest jednak to, co dzieje się później. Według francuskiego systemu pomocy wycieki danych napędzają kolejne fale phishingu i przejmowania kont. Kradzież danych rzadko kończy się więc na samej kradzieży.

Największe kradzieże danych

Skalę problemu pokazują również statystyki francuskiego regulatora. CNIL otrzymała w 2025 r. 6167 zgłoszeń naruszenia ochrony danych osobowych. Około połowa z nich dotyczyła włamań.

ZeroBytes nie jest nawet największym przykładem pod względem liczby potencjalnie poszkodowanych. W 2024 r. Francją wstrząsnął cyberatak na France Travail, dawniej Pôle emploi – publiczną instytucję zajmującą się rynkiem pracy, przede wszystkim pomocą osobom bezrobotnym i poszukującym pracy.

CNIL informowała wówczas o możliwości wycieku danych dotyczących nawet 43 mln osób – obecnych i byłych zarejestrowanych bezrobotnych oraz użytkowników kont kandydatów.

W tym samym roku wyciek danych z operatorów Viamedis i Almerys dotknął ponad 33 mln osób. Chodziło m.in. o dane identyfikacyjne, daty urodzenia, numery ubezpieczenia społecznego oraz informacje dotyczące ubezpieczenia zdrowotnego.

Francuzi – podobnie jak dziś Polacy – mają więc za sobą incydenty, w których pojedynczy wyciek mógł objąć znaczną część dorosłej populacji.

Co szczególnie istotne, cyberprzestępcy nie muszą włamywać się do Pałacu Elizejskiego ani do dużego banku. Mogą zaatakować znacznie słabszy punkt: małą firmę, federację sportową, dostawcę usług, podwykonawcę albo skrzynkę pocztową pracownika.

Francuska pułapka: RODO nie zatrzymuje hakera

Unijne RODO wymaga od organizacji zapewnienia odpowiedniej ochrony danych. Jeżeli dojdzie do naruszenia, które stwarza ryzyko dla praw i wolności osób, administrator powinien co do zasady powiadomić CNIL w ciągu 72 godzin od uzyskania informacji o incydencie. W przypadku wysokiego ryzyka powinien również poinformować osoby poszkodowane.

Ale RODO nie jest murem. To system obowiązków, kontroli i sankcji. Jeżeli ktoś znajdzie lukę, zdobędzie dane pracownika albo wykorzysta błąd konfiguracji, przepisy same nie zamkną drzwi.

Dlatego ANSSI coraz większy nacisk kładzie na odporność systemów, szybkie wykrywanie włamań i ograniczanie skutków eksfiltracji. Po ataku na francuski fiskus administracja rozpoczęła wysyłanie zawiadomień do ok. 678 tys. poszkodowanych osób i firm.

Główne wnioski

1. Hakerzy uzyskali dostęp do danych francuskiego urzędu skarbowego poprzez przejęcie danych uwierzytelniających pracownika i uprawnionej osoby trzeciej. Wyciekły m.in. numery podatkowe, imiona i nazwiska, adresy, numery telefonów i adresy e-mail, informacje o sytuacji rodzinnej, liczbie osób na utrzymaniu, dochodzie podatkowym oraz stawce podatku, a także historia korespondencji z administracją podatkową. Według doniesień przestępcy podrobili stronę logowania do francuskiego fiskusa, a dodatkowo wykorzystali lukę w nieaktualizowanym systemie. Przejęli konto administratora. Potem zaczęła się najbardziej wartościowa część operacji z punktu widzenia atakujących: eksfiltracja, czyli stopniowe wyprowadzanie danych z systemu. To właśnie ten etap szczególnie niepokoi francuską Agencję ds. Bezpieczeństwa Systemów Informatycznych (ANSSI).
2. Cyberprzestępcy nie muszą włamywać się do Pałacu Elizejskiego ani do wielkiego banku. Mogą zaatakować znacznie słabszy punkt: małą firmę, federację sportową, dostawcę usług, podwykonawcę lub skrzynkę pocztową pracownika.
3. Jednym z najbardziej jaskrawych przykładów jest włamanie do systemów Francuskiej Federacji Strzelectwa w październiku 2025 r. Przestępcy wykradli dane osobowe i kontaktowe członków federacji, a następnie mieli je wykorzystywać, podszywając się pod policjantów, żandarmów i celników. W Nicei dwaj fałszywi funkcjonariusze nakłonili strzelca sportowego do wydania broni i amunicji. W sprawie interweniował oddział antyterrorystyczny RAID, a kilka osób zatrzymano.