ב-12 באוגוסט מישהו כתב בפורום שיש לו מידע מרשות המסים הצרפתית. זאת הייתה הפעם הראשונה שבצרפת ידעו על הגניבה, שבעה שבועות אחרי שהמידע הראשון יצא. לא מערכת ניטור עלתה על זה ולא הרשות עצמה. התוקף פשוט סיפר על זה בעצמו, ורק אז נפתח תחקיר של ANSSI, רשות הסייבר הלאומית של צרפת, שפורסם ביום שלישי.

מה קרה

הדוח, שהוגש לראש הממשלה סבסטיאן לקורנו חמישה ימים לפני שפורסם, משחזר פעילות חשודה במערכות DGFIP, רשות המסים הצרפתית שמפעילה את impots.gouv.fr, ממאי ועד אוגוסט 2026. התוקף נכנס בשתי דרכים נפרדות. הראשונה התחילה מכמה עשרות פרטי אימות של עובדי הרשות, שנגנבו על פני שלושה חודשים בידי נוזקות שמעתיקות בשקט סיסמאות שמורות בדפדפן. לנוזקות מהסוג הזה קוראים infostealer. לפי ההערכה בדוח הן חולצו ממחשבים פרטיים של העובדים, לא ממחשבי הרשות. שני הפורטלים שדרכם נכנס, PIGP ו-ADER, ביקשו סיסמה בלבד בלי שלב אימות שני, ולכן סיסמה גנובה הספיקה.

בפנים חיכה E-Contact, הכלי שדרכו נישומים מתכתבים עם הרשות. לפי DGFIP נחשפו שם פרטים של יותר מ-350 אלף אנשים פרטיים ויותר מ-250 אלף עסקים: מספר מזהה לענייני מס, פרטי התקשרות, ההכנסה שעל בסיסה מחושב המס ורשימת ההתכתבויות עם הרשות. אצל פחות מ-250 אנשים נחשף גם תוכן ההודעות. החשבונות והסיסמאות של הנישומים עצמם לא נפרצו.

הדרך השנייה הובילה לנתוני מרשם המקרקעין, דרך פורטל של נוטריונים ומודדים. הוא כן ביקש קוד חד-פעמי, אבל הקוד נשלח במייל, ולפי התחקיר נפרץ מחשב של מודד במשרד פרטי, כך שהתוקף קרא את הקוד ועבר את השלב. לפי ועדת הכספים של הסנאט מדובר שם בנתונים של קרוב ל-435 אלף בתי אב.

ANSSI כותבת שהמתקפה לא הייתה מתוחכמת. היא עבדה כי פורטלים רגישים לא דרשו אימות חזק, כי המערכות לא היו מופרדות מהרשת הבין-משרדית (התוקף הגיע אליה דרך משרד החינוך), וכי הניטור לא זיהה כלום. זאת אמירה הפוכה ממה שנמסר באוגוסט, כשבמשרד האחראי הסבירו שהבדיקות לא חשפו את הגניבה "בגלל התחכום של המתקפה".

למה זה חשוב לכם

אין בדוח הזה מידע של נישומים ישראלים, אבל יש בו בדיוק התרחיש שחוזר גם כאן. עובד מתחבר למערכת עבודה מהמחשב הפרטי בבית, הסיסמה נשמרת בדפדפן, ובאותו מחשב יש גם ההורדות של כל הבית. נוזקה אחת מעתיקה את כל מה שהדפדפן שמר, והפורטל בצד השני לא מבקש שום דבר מלבד אותה סיסמה. זה עובד על רשות ממשלתית כמו על עסק של חמישה אנשים.

ומי שהמידע שלו נחשף הוא מעכשיו מטרה נוחה לפישינג (הודעות מזויפות שמתחזות לגורם אמין כדי לגנוב פרטים), כי הודעה שמצטטת התכתבות אמיתית ויודעת מה ההכנסה שלכם משכנעת יותר מהודעה גנרית. בישראל מסרוני התחזות לרשות המסים הם תופעה מוכרת, והרשות ומערך הסייבר הלאומי אף הפעילו מערכת לאימות קישורים חשודים.

מה עושים?

אל תשמרו סיסמאות של מערכות עבודה בדפדפן של המחשב הפרטי. מנהל סיסמאות ייעודי הוא ההפרדה המינימלית בין הבית לעבודה.

הפעילו אימות דו-שלבי בכל מקום שמאפשר אותו, והעדיפו אפליקציית קודים או מפתח פיזי על קוד שנשלח במייל. הפריצה השנייה בצרפת עברה דווקא את שלב הקוד במייל.

הודעה בשם רשות המסים שמתייחסת לפנייה אמיתית שלכם היא עדיין לא בהכרח אמיתית. היכנסו לאתר הרשות ישירות, לא דרך הקישור בהודעה.

הדוח הצרפתי לא מתאר חולשה חדשה ולא כלי תקיפה מרשים. הוא מתאר סיסמה שנשמרה במקום הלא נכון, ופורטל שלא ביקש יותר מזה.