Cơ quan thuế Pháp thừa nhận bị hack, tin tặc rao bán dữ liệu 2 triệu người nộp thuế

Tổng cục Tài chính Công Pháp (DGFiP) của Pháp xác nhận đã có kẻ gian xâm nhập hệ thống và trích xuất dữ liệu vào tháng 6 vừa qua, sau khi một tội phạm mạng rao bán cơ sở dữ liệu được cho là chứa thông tin của 2 triệu người nộp thuế. Chính phủ nước này đang tiến hành điều tra để xác định mức độ thiệt hại cũng như bác bỏ cáo buộc rằng tin tặc vẫn còn quyền truy cập hệ thống.

Chi tiết vụ việc

Kẻ tấn công sử dụng biệt danh "ZeroBytes" đã rao bán cơ sở dữ liệu bị đánh cắp trên một diễn đàn tội phạm mạng vào thứ Tư (ngày 12/8/2026). Theo lời rao, cơ sở dữ liệu này chứa thông tin chi tiết của hơn 2 triệu người nộp thuế Pháp. ZeroBytes cho biết hắn đã truy cập thành công bằng cách sử dụng thông tin đăng nhập bị đánh cắp và kỹ thuật vượt qua xác thực đa yếu tố (MFA bypass).

Ngoài ra, ZeroBytes còn tuyên bố vẫn duy trì quyền truy cập vào hệ thống của DGFiP và sẵn sàng bán kèm quyền truy cập này cùng với cơ sở dữ liệu.

Phản hồi từ DGFiP

Trong một tuyên bố phát hành vào thứ Năm, DGFiP xác nhận vụ việc nhưng bác bỏ tuyên bố rằng ZeroBytes vẫn còn quyền truy cập hệ thống:

"Vào thứ Tư ngày 12/8/2026, một tác nhân độc hại đã tuyên bố truy cập trái phép vào hệ thống thông tin của Tổng cục Tài chính Công Pháp, xảy ra vào cuối tháng 6/2026 sau một vụ đánh cắp danh tính. Các điều tra ban đầu xác nhận rằng quyền truy cập này, đã bị cắt đứt vào cuối tháng 6 trong một cuộc kiểm toán, tuy nhiên đã cho phép tham vấn và trích xuất dữ liệu của các cá nhân và chuyên gia."

DGFiP cho biết sau khi nhận được khiếu nại, họ đã ngay lập tức áp dụng các biện pháp hạn chế mới để chặn quyền truy cập trái phép và ngăn chặn việc sử dụng trái phép thêm. Các cuộc điều tra chuyên sâu vẫn đang được tiến hành để xác định chính xác dữ liệu nào và số lượng người dùng bị ảnh hưởng.

Cơ quan này cũng cho biết sẽ báo cáo vụ tấn công lên CNIL (cơ quan bảo vệ dữ liệu của Pháp) và thông báo cho những người dùng bị ảnh hưởng sau khi xác định được danh tính của họ.

Làn sóng tấn công mạng vào khu vực công Pháp

Vụ việc này là một phần trong chuỗi các vụ vi phạm an ninh liên tiếp ảnh hưởng đến khu vực công của Pháp trong năm nay:

• Tháng 2/2026: Bộ Tài chính Pháp — cơ quan quản lý DGFiP — thừa nhận tin tặc đã truy cập vào cơ sở dữ liệu chứa thông tin tài khoản ngân hàng của công dân, đánh cắp 1,2 triệu bản ghi dù đã nhanh chóng thu hồi quyền truy cập.

• Tháng 3/2026: Bộ Y tế Pháp xác nhận một cuộc tấn công mạng vào nhà cung cấp công nghệ y tế Cegedim Santé, khiến khoảng 15,8 triệu hồ sơ hành chính bị đánh cắp. Trong đó có khoảng 165.000 hồ sơ chứa ghi chú của bác sĩ, và trong một số "trường hợp rất hạn chế" đã lộ ra tiền sử bệnh án.

• Tháng 4/2026: Bộ Nội vụ xác nhận vụ tấn công vào France Titres — cơ quan chịu trách nhiệm về giấy tờ tùy thân như hộ chiếu và bằng lái xe. Thủ phạm bị cáo buộc là một thiếu niên 15 tuổi, rao bán dữ liệu trực tuyến và tuyên bố vụ vi phạm ảnh hưởng đến từ 18 đến 19 triệu người — hơn một phần tư dân số nước Pháp.

• Tháng 6/2026: Cơ quan quản lý Tchap — nền tảng nhắn tin mã hóa của chính phủ Pháp — điều tra một vụ vi phạm bị nghi ngờ. Tin tặc tuyên bố đã truy cập hơn 73.000 tài khoản người dùng, 643.000 tin nhắn, gần 60.000 tệp phương tiện và hàng trăm phòng chat.

Nhận định

Vụ tấn công vào DGFiP một lần nữa gióng lên hồi chuông cảnh báo về an ninh mạng trong khu vực công tại Pháp và châu Âu. Việc sử dụng thông tin đăng nhập bị đánh cắp kết hợp với kỹ thuật bypass MFA cho thấy các tổ chức chính phủ cần tăng cường các biện pháp bảo mật nhiều lớp, bao gồm giám sát bất thường và quản lý danh tính nghiêm ngặt hơn. Đối với người dùng, đây là lời nhắc nhở về việc dữ liệu cá nhân luôn là mục tiêu của tội phạm mạng, và người nộp thuế tại Pháp nên theo dõi chặt chẽ các thông báo từ DGFiP cũng như cảnh giác với các chiêu trò lừa đảo qua email hoặc tin nhắn.