Francúzske Generálne riaditeľstvo verejných financií potvrdilo, že neznámy páchateľ získal od konca januára neoprávnený prístup k databáze s údajmi o 1,2 milióna bankových účtov. Úrady podali trestné oznámenie a informovali nezávislý dozorný úrad CNIL, ako uvádza portál Techbyte.sk s odvolaním sa na Connexion France a Správy STVR.
Páchateľ sa do systému nedostal hrubou silou. Najskôr získal prihlasovacie údaje nemenovaného úradníka DGFiP a pod jeho identitou sa pohyboval v systéme bez toho, aby spustil bezpečnostné alarmy. Takto sa dostal k národnému súboru bankových účtov, databáze určenej primárne na monitorovanie finančných tokov pre daňové účely a policajné vyšetrovania.
Mená, adresy, IBAN-y
Z databázy unikli mená, adresy a čísla bankových účtov. V niektorých prípadoch aj daňové identifikačné čísla majiteľov. Peniaze priamo ohrozené neboli. DGFiP ubezpečilo verejnosť, že napadnutý systém nie je prepojený s priamym ovládaním transakcií, takže páchateľ nemohol kontrolovať zostatky ani prevádzať prostriedky.
Skutočné riziko je iné. Útočníci s takýmto súborom dát môžu pripraviť cielené phishingové a vishingové kampane, pri ktorých oslovia dotknutých ľudí menom, poznajú ich adresu a dokážu sa vydávať za dôveryhodné inštitúcie. Francúzske ministerstvo hospodárstva preto deklarovalo, že všetkých 1,2 milióna majiteľov dotknutých účtov dostane v najbližších dňoch oficiálne oznámenie. Banky zároveň dostali inštrukciu proaktívne nabádať klientov k ostražitosti a odporúčajú pravidelne kontrolovať výpisy a nastaviť si upozornenia na každú transakciu.
Viamedis, 2024
Nie je to prvý incident tohto rozsahu. V roku 2024 útočníci kompromitovali systémy spoločnosti Viamedis, sprostredkovateľa pre francúzske zdravotné poisťovne. Ani vtedy nešlo o prelomenie serverov hrubou silou. Páchatelom sa podarilo získať prihlasovacie údaje lekárov a lekárnikov prostredníctvom phishingu, čím získali legitímny prístup do vnútornej siete Viamedis aj partnerskej spoločnosti Almerys. Francúzsky úrad na ochranu osobných údajov potvrdil, že útok zasiahol 33 miliónov ľudí, čo v tom čase predstavovalo takmer polovicu obyvateľstva krajiny.
Oba incidenty spája rovnaká metóda: nie technický útok na infraštruktúru, ale kompromitácia legitímnych prihlasovacích údajov. V prípade DGFiP išlo o jedného úradníka, v prípade Viamedis o zdravotníckych pracovníkov. Jeden zle zabezpečený prístupový bod stačil na únik dát miliónov ľudí.
Vyšetrovanie aktuálneho prípadu prebieha na národnej úrovni, potvrdzuje portál Bleskovky.sk. Páchateľ zatiaľ nebol identifikovaný.
