U četvrtak navečer, 13. kolovoza, francusko Ministarstvo gospodarstva i financija potvrdilo je da su u kibernetičkom napadu ukradeni podaci poreznih obveznika, i građana i tvrtki. Priznanje je stiglo dan nakon što je napadač na kriminalnom forumu objavio da je upao u sustav Porezne uprave (DGFiP). Prema priopćenju ministarstva, pristup se dogodio krajem lipnja 2026., nakon krađe identiteta, i bio je prekinut krajem istog mjeseca u sklopu redovite sigurnosne kontrole. No prije nego što je pristup prekinut, napadač je stigao pregledati i preuzeti podatke.

Platforma FrenchBreaches, koja podatke ima izravno od napadača, navodi 678.438 redaka podataka, od čega se 392.867 odnosi na fizičke osobe, a 285.570 na tvrtke i obrtnike. Uzorak procurjelih podataka uključuje interne porezne identifikatore, puna imena, datume i mjesta rođenja, adrese, sastav kućanstva, broj uzdržavanih članova, referentni oporezivi dohodak, stopu poreza po odbitku, telefonske brojeve, e-mail adrese, pa čak i zapise pojedinačnih zahtjeva građana prema upravi, poput promjene adrese. Među pogođenima je 26.805 poreznih obveznika s dohotkom od 100.000 eura ili više, 386 s dohotkom iznad milijun eura, i osmero s dohotkom iznad deset milijuna eura. Ministarstvo dosad nije potvrdilo te brojke, samo činjenicu da je do krađe podataka došlo.

Ušao je tuđim identitetom, ne probijanjem sustava

Najzanimljiviji dio ove priče nije razmjer štete, nego način na koji je napadač ušao. Prema dosad dostupnim informacijama, riječ nije o softverskom propustu ili neplaćenom exploitu, nego o krađi identiteta koja je napadaču omogućila pristup internom VPN-u, a preko njega i internom alatu za pretragu podataka građana i tvrtki. Kad je jednom unutra, napadač je počeo automatizirano izvlačiti podatke, a operacija je prekinuta tek kad je sustav to prepoznao kao sumnjivo ponašanje.

To je ključna razlika u odnosu na klasičan scenarij hakiranja. Ovdje nije probijena vanjska obrana, nego je netko iskoristio tuđi identitet i ušao kroz vrata koja su za taj identitet bila legitimno otvorena. Za institucije koje upravljaju osjetljivim podacima građana, to znači da provjera identiteta i ograničavanje onoga što jedan korisnik smije vidjeti odjednom postaju jednako važni kao vanjski firewall, možda i važniji.

Sedam tjedana nitko ništa nije rekao

Vremenska crta ovog slučaja zaslužuje posebnu pažnju. Pristup je prekinut krajem lipnja, ali javnost, pa ni CNIL, francusko regulatorno tijelo za zaštitu podataka, o incidentu nisu saznali sve do 12. kolovoza, kad je sam napadač objavio podatke na forumu. To je gotovo sedam tjedana tišine, unatoč tome što je uprava interno znala da se nešto dogodilo. Tek nakon što je napadač javno objavio ukradene podatke, ministarstvo je izdalo priopćenje, prijavilo incident CNIL-u i najavilo kaznenu prijavu.

Situacija se dodatno zakomplicirala manje od 48 sati kasnije. Isti napadač, koji se predstavlja pod imenom Zerobytes, tvrdi da je izveo drugi upad, ovaj put u katastarski API porezne uprave. Ako je to točno, sustav ni nakon prvog otkrivenog upada nije uspio zatvoriti sve rupe kroz koje je isti akter mogao ući, što postavlja ozbiljno pitanje o brzini i temeljitosti sanacije.

Ovaj incident nije usamljen slučaj u francuskom javnom sektoru u 2026.. U siječnju i veljači, napadač je pomoću ukradenih vjerodajnica jednog državnog službenika pristupio francuskoj bazi bankovnih računa FICOBA i pregledao podatke 1,2 milijuna računa. Mjesec dana kasnije, francusko ministarstvo zdravstva priznalo je da je hakiran softver tvrtke Cegedim Santé, koji je koristilo oko 1.500 liječničkih ordinacija, pa su administrativni i medicinski podaci više od 15 milijuna ljudi bili izloženi, uključujući osjetljive bilješke za 169.000 pacijenata. U sva tri slučaja napadači nisu probijali vanjsku obranu, nego su zloupotrijebili nešto što je već imalo legitiman pristup, bilo to ukradena vjerodajnica, softver treće strane ili lažni identitet.

Što ovo znači za hrvatske institucije

Hrvatska porezna uprava, HZMO, HZZO i sustav e-Građani upravljaju istom vrstom podataka kao francuski DGFiP, i to za milijune građana. Ovaj slučaj pokazuje tri stvari koje bi svako tijelo javne vlasti u kategoriji ključnih ili važnih subjekata prema ZKS-u trebalo provjeriti.

Prvo, upravljanje identitetima i privilegiranim pristupom. Ako netko može ući u interni alat za pretragu podataka jednostavno predstavljajući se kao ovlaštena osoba, provjera identiteta na tom mjestu očito nije bila dovoljno stroga. Višefaktorska autentifikacija i stroga kontrola tko točno smije pristupiti kojem alatu nisu tehnički detalji, nego temeljna linija obrane.

Drugo, otkrivanje neuobičajenog ponašanja. Automatizirano izvlačenje tisuća redaka podataka razlikuje se od uobičajenog korištenja sustava, i sustav bi to trebao prepoznati puno prije nego što napadač sam objavi da je unutra. Sedam tjedana između internog prekida pristupa i javnog priznanja govori da nadzor i praćenje anomalija zahtijevaju dodatnu pažnju, ne samo tehnologiju nego i proces eskalacije.

Treće, brzina i temeljitost sanacije nakon incidenta. Ako je isti napadač uspio ući ponovno kroz drugi sustav manje od dva dana nakon prvog otkrića, to znači da zatvaranje jedne rupe nije dovoljno. Plan odgovora na incident mora uključivati provjeru svih sustava koji dijele istu infrastrukturu za autentifikaciju, ne samo onaj koji je bio izravno pogođen.

Riskoria pomaže tijelima javne vlasti i kritičnoj infrastrukturi u Hrvatskoj s procjenom usklađenosti sa ZKS-om, upravljanjem identitetima i privilegiranim pristupom te pripremom za reviziju kibernetičke sigurnosti. Za razgovor o stanju vaše institucije, javite se na info@riskoria.eu.