法国税务部门数据遭窃

法国公共财政总局（DGFiP）局长阿梅莉·韦迪耶（Amélie Verdier）于8月14日（周五）证实6月下旬遭遇了大规模数据泄露事件。此次事件中，共有67.8万个的敏感数据遭窃并被挂网出售，其中包括39.3万名个人和28.6万名企业专业人士。

法国公共财政总局（DGFiP）证实6月下旬遭遇了大规模数据泄露事件 ? Science Photo Library via AFP

这并非一起普通的网络攻击。也是近期法国连续发生类似事件的最新一起。法国总理塞巴斯蒂安·勒科尔努 (Sébastien Lecornu) 周一召开部际危机小组会议，目的为从周一开始通知数据遭泄露的受影响个人及企业的工作做好准备。会议还将评估一项针对政府机构的安全计划的实施情况，该计划于4月30日启动，核心在于建立“国家层面的新型数字治理”机制并加强相关资源配置。

与此同时，巴黎检察官办公室的网络犯罪部门已对此展开调查。税务部门正呼吁受影响者保持警惕。调查由打击网络犯罪办公室（Ofac）负责，重点针对“从国家运营的自动化个人数据处理系统中非法窃取数据”的行为。 调查涉及的指控还包括“参与犯罪共谋，以策划可判处至少五年监禁的犯罪行为”等。

法国税务部门周五曾形容此次攻击手段比“以往”见过的攻击“更为复杂”。 为试图安抚公众，表示被窃数据“无法用于访问法国官方税务（impots.gouv.fr）网站上的安全账户”；该部门也要联系受影响用户，特别是为了提醒他们注意身份盗用的风险。 就企业而言，涉及的数据“敏感度低于个人数据”，主要包括SIREN号码（企业识别号）以及公司及其法定代表人的地址。

有何风险

对于此次数据泄露事件在数据规模和敏感度方面的严重程度，电脑安全软件公司ESET法国分部的网络安全专家格鲁内穆瓦德 Beno?t Grünemwald指出：“被窃取的信息涵盖了姓名、地址、应纳税收入及预扣税率等大量内容。这些数据对恶意攻击者而言极具价值。由于数据直接源自税务部门，其可靠性极高，因此可与其他被盗信息交叉比对以验证真伪。最重要的是：“此次数据泄露让犯罪分子掌握了极其精确的信息。他们能够利用这些涉及个人生活细节的信息，制造出愈发逼真的伪造内容，从而实施欺诈。”

受影响的个人可能会成为网络钓鱼邮件的目标。诈骗者冒充银行或企业等可信机构，企图窃取密码或银行卡号等敏感信息，甚至诱导受害者直接转账。尽管此类手段已司空见惯，但诈骗者掌握的关于受害者的信息越详尽，其行骗手段就越具迷惑性。此外，短信和电话也日益成为此类攻击的常用渠道。

每一条信息都可能被利用。例如，税务部门的数据能显示某人是否有子女，这便为潜在的诈骗提供了素材。“有些父母可能会接到孩子以出事或手机丢了为由，需要通过某种账号转账的诈骗电话等……

对于企业而言，类似的骗局被称为 “假总裁骗局”（CEO fraud）。 拥有转账权限的员工会接到“老板”的联系。由于发生了数据泄露，犯罪分子掌握了负责税务缴纳人员的姓名。而此人几乎肯定拥有付款权限。

网络“卫生”

尽管这位专家认为可能性较低，但仍不能排除其他更严重的威胁，例如身份盗用。另外，从公共财政总局网站窃取的数据可能会通过“两步走”的方式助长此类犯罪，即黑客入侵受害者的电子邮件账户。同时，诸如拥有第二处房产之类的信息泄露，也可能引发入室盗窃的风险。

尽管不存在“零风险”，人们仍可采取一些预防措施。首先，务必警惕各类电子邮件和信息。一条至关重要的原则是：切勿直接点击其中的链接。如果信息看似来自某家公司或政府机构，最好直接访问其官方网站或应用程序；如果是真实信息，您的账户内通常会有相应通知。

专家也建议大家使用至少三个电子邮件地址，一个用于个人事务，一个用于公务往来，还有一个用于休闲活动。一旦发生黑客攻击，用于休闲活动的账户往往最容易受到波及。出于同样的原因，特别谨慎的人士也可以考虑使用第二个电话号码。

另一个薄弱环节是密码。法国人往往在多个网站上使用同一个密码，但专家建议为每个网站设置不同的密码。

最后，专家强烈建议不要在任何网站上保存信用卡信息。有些银行甚至提供创建临时虚拟卡的服务，用户只需向卡内充入有限的金额。这样一来，即便卡片信息泄露，经济损失也能控制在有限范围内。格鲁内穆瓦德承认，采取这些预防措施确实需要时间。但他认为，这属于“网络卫生”的范畴——就像我们为了预防疾病而注重个人卫生一样，这同样需要投入时间。