Cơ quan thuế Pháp bị hack: Lỗ hổng chết người trong kỷ nguyên số

Giữa kỳ nghỉ hè, nước Pháp chấn động trước một sự cố an ninh mạng nghiêm trọng chưa từng có: dữ liệu của gần 680.000 người nộp thuế bị đánh cắp và rao bán trên darknet. Sự việc không chỉ là một vụ rò rỉ dữ liệu đơn thuần mà còn phơi bày một loạt yếu kém mang tính hệ thống trong chiến lược bảo mật của nhà nước Pháp, từ hạ tầng kỹ thuật lỗi thời đến quy trình phát hiện và ứng phó chậm chạp, khiến giới chuyên gia phải đặt câu hỏi: Liệu có nhiều vụ tấn công tương tự còn chưa được phát hiện?

Sự thật về vụ tấn công vào cơ quan thuế

Tổng cục Tài chính Công Pháp (DGFiP) xác nhận một vụ xâm nhập dẫn đến rò rỉ một tệp dữ liệu chứa 678.000 mục, bao gồm cả cá nhân và doanh nghiệp. Tổng giám đốc Amélie Verdier đã xác nhận thông tin vào tối thứ Sáu, ngày 14/8, với các danh mục chính bị ảnh hưởng: họ tên, thành phần gia đình, thu nhập chịu thuế tham chiếu và tỷ lệ khấu trừ tại nguồn.

Mẫu dữ liệu được FrenchBreaches phân tích từ tuyên bố của tin tặc còn chứa địa chỉ, số điện thoại, email và số người phụ thuộc. Đặc biệt, theo phân tích, có 26.805 cá nhân bị ảnh hưởng có thu nhập chịu thuế trên 100.000 euro, trong đó 386 người vượt mức 1 triệu euro.

Screenshot vụ tấn công

Dòng thời gian sự kiện

• Cuối tháng 6: Quyền truy cập của tin tặc bị cắt, nhưng việc trích xuất dữ liệu không được phát hiện.
• 12/8: Dữ liệu bị rao bán công khai trên darknet, mới chỉ khi đó vụ việc mới được biết đến.
• 14/8: DGFiP xác nhận vụ việc trước công chúng.
• 15/8: Văn phòng công tố Paris mở cuộc điều tra, giao cho Văn phòng chống tội phạm mạng.

Một điểm đáng chú ý: cùng một tin tặc còn tuyên bố thực hiện vụ tấn công thứ hai vào cuối tháng 7 nhắm vào máy chủ dữ liệu địa chính chuyên nghiệp, ảnh hưởng đến hơn 2 triệu người. Tin tặc nói rằng đã có được quyền truy cập thông qua một VPN được sử dụng bởi nhân viên thuế, đồng thời bình luận rằng người dân cần "tỉnh thức và thấy nước Pháp là một trò hề".

Vì sao hệ thống an ninh của nhà nước lại thất bại?

Mô hình bảo mật lỗi thời: "Bên ngoài kiên cố, bên trong bỏ ngỏ"

Một trong những nguyên nhân sâu xa nằm ở mô hình bảo mật lịch sử của nhà nước Pháp. Nhiều hệ thống được thiết kế trong môi trường mà việc truy cập máy tính phải vượt qua loạt rào cản vật lý: tòa nhà an ninh, thẻ ra vào, máy tính được kiểm soát, mạng nội bộ. Khi đã ở bên trong, người dùng được cấp một mức độ tin cậy rất lớn.

Điều này hoàn toàn trái ngược với nguyên tắc zero trust - không tin tưởng bất kỳ truy cập nào theo mặc định và liên tục xác minh lại mọi hành động. Tuy nhiên, áp dụng zero trust đòi hỏi một kiến trúc hiện đại, trong khi nhiều hệ thống của nhà nước Pháp vốn dĩ đã cũ kỹ và không được tái cấu trúc.

Đại dịch COVID-19 và sự bùng nổ truy cập từ xa

Đại dịch COVID-19 đã làm thay đổi mô hình này một cách đột ngột. Làm việc từ xa và VPN được triển khai để truy cập vào các hệ thống vốn được thiết kế cho môi trường đóng kín. Điều này là cần thiết để duy trì hoạt động của nhà nước, nhưng đồng nghĩa với việc mở rộng các điểm truy cập mà không tái xây dựng mô hình tin cậy dựa trên nền tảng của hệ thống.

Vấn đề liên bộ: Lỗ hổng từ sự phối hợp kém

Nhiều hệ thống hành chính được thiết kế cho người dùng nội bộ. Khi phải cấp quyền truy cập cho người dùng hoặc hệ thống bên ngoài, vấn đề an ninh trở nên phức tạp. Vụ tấn công Ficoba (một cơ sở dữ liệu tài chính công) dường như là ví dụ điển hình: quyền truy cập bị xâm phạm thuộc về một công chức được phép tham khảo hồ sơ trong khuôn khổ trao đổi liên bộ.

Hệ lụy pháp lý: Bài học từ Bulgaria

Câu hỏi được nhiều người đặt ra: Người dân có thể kiện nhà nước vì sơ suất? Câu trả lời đến từ Bulgaria. Năm 2019, cơ quan thuế quốc gia Bulgaria bị tin tặc tấn công, làm lộ dữ liệu của 6 triệu người. Một người nộp thuế đã kiện chính phủ, và đến tháng 12/2023, Tòa án Công lý Liên minh châu Âu (CJEU) đã ra phán quyết có lợi cho người dân, xác nhận ba điểm quan trọng:

• Nỗi lo về việc dữ liệu bị lạm dụng đã đủ cấu thành thiệt hại có thể bồi thường, ngay cả khi chưa bị hại gì cụ thể.
• Nghĩa vụ chứng minh bị đảo ngược: Cơ quan hành chính phải chứng minh các biện pháp bảo mật của mình là phù hợp.
• Việc thiệt hại đến từ tin tặc không tự động miễn trừ trách nhiệm cho cơ quan hành chính.

Phán quyết của CJEU giải thích GDPR và hoàn toàn có hiệu lực tại Pháp.

NIS2: Nước Pháp bị Liên minh châu Âu kiện vì không chuyển hóa luật bảo mật

Một nghịch lý đáng chú ý: Trong khi nhà nước Pháp liên tục bị tấn công, đạo luật bảo vệ kỹ thuật số chính - chuyển hóa chỉ thị NIS2 của EU - vẫn chưa được thông qua. Chỉ thị này, có hiệu lực từ năm 2022, yêu cầu khoảng 15.000 thực thể Pháp gồm doanh nghiệp và cơ quan hành chính phải có nền tảng bảo mật chung: quản lý rủi ro, thông báo sự cố và các chế tài xử phạt. Hạn chót chuyển hóa là tháng 10/2024, nhưng đến nay vẫn chưa được thông qua.

Ngày 8/7/2026, Ủy ban châu Âu đã đưa Pháp ra trước Tòa án Công lý Liên minh châu Âu, cùng với Ireland, Tây Ban Nha và Hà Lan, yêu cầu xử phạt. Lý do không chỉ là sự chậm trễ, mà còn vì một điều khoản gây tranh cãi: cấm nhà nước ép các nhà cung cấp dịch vụ mã hóa phải tạo "cửa hậu" (backdoor) - một điểm mà giới chuyên gia cho rằng chính là yếu tố khiến an ninh quốc gia bị xâm phạm, như vụ Salt Typhoon tại Mỹ.

Hình ảnh minh họa về bảo mật

Bài học cho người dùng và doanh nghiệp

Vụ việc này cho thấy ngay cả các tổ chức lớn, được coi là xương sống của nhà nước, cũng có thể bị tổn thương bởi các chiến dịch tấn công có chủ đích. Một số bài học rút ra:

• Xác thực đa lớp là chưa đủ: Các lớp bảo mật mạnh mẽ ở biên giới mạng không đồng nghĩa với an toàn tuyệt đối. Cần giám sát và xác minh liên tục các hành vi bên trong hệ thống.
• Phát hiện và phản hồi là yếu tố sống còn: Thời gian phát hiện sự cố quá lâu (gần 2 tháng) đã cho phép dữ liệu bị trích xuất và rao bán. Việc xây dựng hệ thống giám sát và cảnh báo sớm là vô cùng quan trọng.
• Quản lý quyền truy cập là nền tảng: Cần phân quyền tối thiểu (principle of least privilege) và giám sát chặt chẽ các tài khoản đặc quyền.

Đối với người dùng cá nhân, việc lộ lõi dữ liệu thu nhập, địa chỉ và số điện thoại làm tăng nguy cơ bị lừa đảo, tống tiền hoặc theo dõi. Cẩn trọng với các cuộc gọi, tin nhắn lạ và thay đổi mật khẩu các tài khoản quan trọng là điều cần làm ngay.

Tương lai: Bài toán chưa có lời giải

Vụ hack cơ quan thuế Pháp giống như một lời cảnh tỉnh không chỉ cho nước Pháp mà còn cho nhiều quốc gia đang trong quá trình chuyển đổi số. Sự phụ thuộc vào hạ tầng công nghệ thông tin càng lớn thì nguy cơ từ các cuộc tấn công mạng càng cao. Nếu không có một cuộc cải cách triệt để về hạ tầng, quy trình và nhận thức, những vụ việc tương tự sẽ còn tiếp diễn, và niềm tin của người dân vào các thể chế nhà nước sẽ ngày càng bị bào mòn.

Hình ảnh minh họa

"Nếu việc duy nhất giúp phát hiện vụ trích xuất dữ liệu này là tin tặc tự công bố, thì có bao nhiêu vụ trích xuất được thực hiện bởi những kẻ không công bố gì? Liệu ai đó có thể thu thập đủ dữ liệu từ nhiều dịch vụ để tạo ra một mô phỏng thực tế về nước Pháp? Không ai có thể trả lời. Đó chính là vấn đề."