Kebocoran Data Otoritas Pajak Prancis Berdampak pada 678.000 Individu

Kementerian Ekonomi dan Keuangan Prancis mengungkapkan kebocoran data setelah attacker berhasil mengakses sistem General Directorate of Public Finances (DGFiP) dan mencuri informasi milik sekitar 678.000 individu dan profesional.

Insiden tersebut diketahui setelah threat actor yang menggunakan nama ZeroBytes mengklaim telah menyerang sistem otoritas pajak Prancis dan menawarkan database yang diduga dicuri untuk dijual di forum hacking pada 12 Agustus 2026.

Investigasi pemerintah Prancis kemudian mengonfirmasi bahwa sejumlah access point pada sistem DGFiP memang telah digunakan untuk mengakses dan mengekstrak data sebelum akses tersebut dihentikan.

Data Pajak 678.000 Orang Diakses

Menurut hasil investigasi Kementerian Ekonomi dan Keuangan Prancis, data yang diakses mencakup informasi perpajakan milik sekitar 678.000 individu dan profesional.

Untuk wajib pajak individu, data yang terdampak antara lain reference tax income, family quotient, dan withholding tax rate.

Sementara untuk perusahaan, informasi yang diakses dapat mencakup nama perusahaan serta SIREN number, yaitu nomor identifikasi resmi perusahaan di Prancis.

Attacker juga berhasil mengakses cadastral data yang berkaitan dengan alamat serta ukuran properti.

Kombinasi informasi pajak dan data properti tersebut dapat menjadi informasi sensitif yang berpotensi dimanfaatkan untuk targeted phishing, social engineering, maupun penipuan yang dibuat berdasarkan profil korban.

Akun Online dan Password Tidak Terdampak

Meski sejumlah data pajak dan properti berhasil diakses, pemerintah Prancis menegaskan bahwa online accounts milik pengguna individu maupun profesional tidak berhasil dikompromikan.

User ID dan password juga tidak termasuk dalam data yang terdampak.

Dengan demikian, kebocoran ini berbeda dari insiden yang memberikan attacker akses langsung ke akun online wajib pajak. Namun, data yang berhasil diambil tetap memiliki nilai tinggi karena berisi informasi pribadi, perpajakan, bisnis, serta properti.

Setelah serangan terdeteksi, otoritas pajak Prancis langsung menutup akses menuju sistem yang menyimpan informasi sensitif dan melanjutkan investigasi untuk menentukan cakupan insiden secara keseluruhan.

Investigasi tersebut dilakukan dengan bantuan National Cybersecurity Agency of France (ANSSI).

Hacker Klaim Mengakses Database Properti Prancis

Dalam klaim yang dipublikasikan di forum hacking, ZeroBytes juga mengatakan bahwa mereka berhasil mendapatkan akses ke Serveur Professionnel de Données Cadastrales (SPDC).

SPDC merupakan platform online yang dioperasikan otoritas pajak Prancis dan menyediakan akses terhadap central land registry serta data kepemilikan properti.

Threat actor tersebut mengklaim platform itu memberikan akses terhadap data sekitar 20 juta warga Prancis.

Namun, menurut pengakuan pelaku, mereka hanya berhasil mengambil sekitar 252.149 records yang disebut berisi data mengenai lebih dari 2 juta orang.

Pelaku mengatakan proses ekstraksi database terlalu sulit dan membutuhkan waktu berbulan-bulan sehingga tidak seluruh data berhasil diambil.

ZeroBytes juga mengklaim masih memiliki akses ke panel tersebut ketika menawarkan database kepada calon pembeli.

Klaim mengenai database tambahan tersebut belum sepenuhnya dikonfirmasi oleh otoritas Prancis. Investigasi pemerintah saat ini masih berfokus pada menentukan data apa saja yang benar-benar telah diakses dan diekstrak.

Pemerintah Prancis Akan Menghubungi Korban

Kementerian Ekonomi dan Keuangan Prancis mengatakan akan mulai menghubungi seluruh individu yang terdampak pada pekan berikutnya.

Pemberitahuan akan dikirim melalui email atau surat dan akan menjelaskan jenis informasi yang kemungkinan telah diakses atau dicuri.

Pemerintah juga akan memberikan langkah-langkah pencegahan yang perlu dilakukan oleh korban untuk mengurangi risiko penyalahgunaan data.

Langkah tersebut penting mengingat data yang bocor dapat digunakan untuk membuat komunikasi palsu yang terlihat lebih meyakinkan.

Misalnya, attacker dapat menggabungkan nama, informasi pajak, alamat properti, maupun informasi perusahaan untuk membuat email atau panggilan telepon yang seolah-olah berasal dari lembaga pemerintah.

CNIL Telah Diberitahu

Setelah menemukan adanya akses tidak sah terhadap sistem, DGFiP juga melaporkan insiden tersebut kepada French Data Protection Authority (CNIL).

Pemberitahuan tersebut merupakan bagian dari proses penanganan insiden perlindungan data di Prancis.

Otoritas masih melakukan analisis terhadap dampak kebocoran dan jumlah data yang benar-benar berhasil diekstrak sebelum akses attacker dihentikan.

Serangkaian Serangan Menargetkan Pemerintah Prancis

Insiden di DGFiP menjadi kasus terbaru dalam rangkaian cyberattack dan data breach yang menargetkan berbagai lembaga pemerintah Prancis dalam beberapa bulan terakhir.

Pada Januari 2026, otoritas perlindungan data Prancis menjatuhkan denda €5 juta kepada France Travail setelah hacker mencuri informasi pribadi sekitar 43 juta orang.

Sebulan kemudian, Kementerian Keuangan Prancis mengungkap kebocoran lain yang berdampak pada lebih dari 1,2 juta user accounts setelah database dari sistem FICOBA, yaitu national bank account registry, dicuri.

Kasus lainnya melibatkan France Titres, lembaga pemerintah yang bertanggung jawab atas penerbitan dan pengelolaan dokumen administratif. Lembaga tersebut juga mengungkap adanya breach setelah threat actor menawarkan database berisi sekitar 19 juta records yang diklaim dicuri dari National Agency for Secure Documents (ANTS).

Serangkaian insiden tersebut menunjukkan bahwa lembaga pemerintah yang menyimpan data dalam jumlah besar terus menjadi target menarik bagi threat actor.

Dalam kasus DGFiP, meskipun password dan akun online pengguna tidak terdampak, pencurian data perpajakan dan informasi properti tetap menimbulkan risiko serius terhadap privasi dan keamanan individu maupun perusahaan.