Cơ quan thuế Pháp xác nhận vụ tấn công lộ dữ liệu 600.000 người, bao gồm cả tin nhắn riêng tư

Cơ quan Tổng cục Tài chính Công (DGFiP) của Pháp vừa công bố thông tin cập nhật về vụ tấn công mạng được xác nhận vào tuần trước, cho biết kẻ tấn công có thể đã đánh cắp nội dung tin nhắn trao đổi giữa cơ quan này với hàng trăm người nộp thuế. Dữ liệu bị xâm phạm bao gồm từ thông tin liên hệ cơ bản đến tài chính hộ gia đình và mức khấu trừ thuế, ảnh hưởng đến khoảng 600.000 cá nhân và doanh nghiệp.

Chi tiết vụ việc

Theo bản cập nhật được DGFiP công bố trong tuần này, danh sách tin nhắn trao đổi với cơ quan thuế đã bị lộ. Đáng chú ý, với khoảng 250 người, nội dung tin nhắn thực tế cũng nằm trong số dữ liệu bị xâm phạm.

Hơn 350.000 cá nhân bị ảnh hưởng, với các dữ liệu bị lộ bao gồm:

• Số định danh thuế
• Tình trạng hôn nhân
• Địa chỉ email và bưu điện
• Số điện thoại

Ngoài ra, hồ sơ thuế còn lộ các chi tiết như thành phần hộ gia đình, số người phụ thuộc, hệ số gia đình, thu nhập chịu thuế tham chiếu và mức khấu trừ thuế.

Ảnh hưởng đến doanh nghiệp và dữ liệu địa chính

Với khoảng 250.000 doanh nghiệp và chuyên gia, dữ liệu bị ảnh hưởng chỉ giới hạn ở tên công ty và số SIREN — mã số định danh 9 chữ số duy nhất được cấp cho doanh nghiệp Pháp. DGFiP cho biết dữ liệu địa chính bị xâm phạm chỉ giới hạn ở địa chỉ và kích thước bất động sản, vốn đã là thông tin công khai.

Phản ứng và cảnh báo

DGFiP cho biết đã thông báo cho những người nộp thuế bị ảnh hưởng qua email hoặc thư bưu điện trong tuần này. Cơ quan này cũng cảnh báo rằng tội phạm có thể sử dụng dữ liệu bị đánh cắp để khiến các nỗ lực lừa đảo qua mạng (phishing) trở nên thuyết phục hơn.

DGFiP nhấn mạnh các trường hợp giả mạo danh tính, lừa đảo CEO, và các vụ lừa đảo liên quan đến cố vấn ngân hàng giả mạo là những rủi ro tiếp theo có thể xảy ra.

Cơ quan thuế Pháp khẳng định sẽ không bao giờ yêu cầu người nộp thuế cung cấp thông tin nhạy cảm như mã PIN hoặc giấy tờ tùy thân qua điện thoại, tin nhắn văn bản hoặc email. Mọi yêu cầu chỉ được thực hiện qua cổng thông tin an toàn của họ.

Lỗ hổng kỹ thuật tại Cổng Thừa kế Vắng chủ

Trong một diễn biến riêng, DGFiP cũng tiết lộ về một lỗ hổng kỹ thuật trong Cổng Thừa kế Vắng chủ (PSV) của chính phủ — dịch vụ dùng để tìm kiếm các di sản không có người thừa kế. DGFiP đã đình chỉ dịch vụ này sau khi phát hiện lỗ hổng. Hiện chưa có bằng chứng cho thấy dữ liệu cá nhân đã bị rò rỉ, nhưng cuộc điều tra về khả năng lộ thông tin của người nộp đơn vẫn đang tiếp tục.

Một năm đầy biến động cho an ninh mạng Pháp

Vụ việc này tiếp nối một loạt sự cố an ninh mạng nghiêm trọng trong khu vực công của Pháp:

• Tháng 2: Bộ Tài chính, cơ quan giám sát DGFiP, thừa nhận bị xâm nhập vào cơ sở dữ liệu chứa thông tin ngân hàng của 1,2 triệu người.
• Tháng 3: Bộ Y tế xác nhận 15,8 triệu hồ sơ hành chính, trong đó 165.000 chứa ghi chú của bác sĩ, bị đánh cắp trong vụ tấn công vào công ty công nghệ y tế Cegedim Santé.
• Tháng 4: Một thiếu niên 15 tuổi bị cáo buộc thực hiện vụ tấn công vào France Titres, cơ quan chịu trách nhiệm về giấy tờ tùy thân của quốc gia. Kẻ tấn công tuyên bố vụ vi phạm ảnh hưởng đến 18-19 triệu người.
• Tháng 6: Pháp mở cuộc điều tra về vụ vi phạm Tchap, nền tảng nhắn tin mã hóa của chính phủ, sau khi kẻ tấn công tuyên bố đã truy cập vào 73.000 tài khoản người dùng, 643.000 tin nhắn và gần 60.000 tệp phương tiện.

Bài học cho người dùng Việt Nam

Vụ việc tại Pháp là lời nhắc nhở quan trọng về an ninh thông tin cá nhân, đặc biệt trong bối cảnh các dịch vụ thuế và hành chính công tại Việt Nam đang ngày càng số hóa. Người dùng cần:

• Cảnh giác với các email hoặc cuộc gọi tự xưng là cơ quan thuế, đặc biệt khi chúng yêu cầu cung cấp thông tin nhạy cảm
• Chỉ cung cấp thông tin qua các cổng dịch vụ công chính thức của cơ quan nhà nước
• Theo dõi các thông báo chính thức từ cơ quan thuế Việt Nam về các khuyến cáo an ninh mạng

Bài học lớn nhất là không có cơ quan chính phủ hợp pháp nào sẽ yêu cầu người dân cung cấp mật khẩu, mã PIN hay giấy tờ tùy thân qua điện thoại hoặc email. Hãy luôn kiểm tra kỹ nguồn gốc của mọi yêu cầu thông tin trước khi cung cấp bất kỳ dữ liệu cá nhân nào.