Hacking van de belastingdienst: hoe zijn we hier beland?

Midden in de zomervakantie ontdekden we een groot incident in het hart van de staat. Hoewel de veiligheid van de staat al eerder ter sprake kwam bij de hacking van de ANTS, bereiken we nu een nieuw niveau—misschien wel het hoogste dat ooit is bereikt.

De vraag blijft: hoe is dit mogelijk? Om verschillende perspectieven te belichten, heb ik gesproken met leden van de Cybernetica-gemeenschap met uiteenlopende profielen: een specialist in de digitale transformatie van de staat, een cybersecurity-expert, een politicus en enkele veteranen uit de digitale wereld. Het resultaat is een genuanceerde analyse die verder probeert te gaan dan de algemene ruis.

Er is tijd voor kritiek en het eisen van sancties, maar er is eerst tijd nodig voor begrip en reflectie.

De feiten

De DGFiP (Directie van de Openbare Financiën) heeft een inbraak bevestigd die leidde tot het lekken van een bestand met 678.000 vermeldingen van particulieren en professionals. De directeur-generaal van de openbare financiën, Amélie Verdier, bevestigde op vrijdagavond 14 augustus de balans en de belangrijkste betrokken categorieën: namen en voornamen, gezinssamenstelling (quotient familial), referentiebelastinginkomen en het tarief van de bronheffing. Een steekproef geanalyseerd door FrenchBreaches, gebaseerd op de gegevens die door de hacker werden geclaimd, bevat bovendien adressen, telefoonnummers, e-mailadressen en het aantal personen ten laste.

Chronologie

De toegang van de aanvaller was eind juni afgesloten, maar de exfiltratie van gegevens werd toen niet gedetecteerd. Het lek werd pas ontdekt nadat de gegevens op 12 augustus te koop werden aangeboden. Dit is op zichzelf al een groot deel van het probleem.

Escalatie

Dezelfde hacker claimde een tweede aanval, eind juli uitgevoerd op de professionele server voor kadastrale gegevens, wat door de administratie is bevestigd. Volgens de hacker zijn hierbij meer dan twee miljoen mensen betrokken. Hij verklaarde dat de toegang werd verkregen via een VPN die door belastingambtenaren wordt gebruikt, en merkte op dat mensen wakker moeten worden en moeten zien in hoeverre "Frankrijk een sketch is".

Het parket van Parijs heeft zaterdag een onderzoek geopend, toevertrouwd aan het Office anticybercriminalité. De betrokkenen worden vanaf volgende week één voor één op de hoogte gesteld, bijna twee maanden na de inbraak.

De politiek mengt zich er ook in: het Europarlementariër Aurore Lalucq vroeg op X om het aftreden van de minister belast met de openbare rekeningen, David Amiel, nadat ze bekritiseerde dat de dader "naar binnen ging en met de kassa vertrok".

De hacking bij het Ministerie van Onderwijs

Ondertussen is een andere administratie in volledige duisternis gehackt. In de nacht van 25 op 26 juli drong iemand binnen in het informatiesysteem voor de opleiding van het personeel van het Ministerie van Onderwijs. Net als bij de DGFiP gebeurde dit via het misbruiken van een professioneel account.

De betrokken gegevens zijn die van alle agenten die sinds 2001 in een academie hebben gewerkt: identiteit, status, functies en voor een deel van hen het postadres, telefoonnummer en burgerservicenummer. Het ministerie heeft geen cijfers over het volume gepubliceerd. Het communiqué verscheen op 31 juli, midden in de vakantieperiode, en kreeg nauwelijks aandacht. Dit was de derde hacking van het Ministerie van Onderwijs sinds januari.

Het Bulgaarse voorbeeld

Op sociale media werd de vraag gesteld of de staat aangeklaagd kan worden wegens nalatigheid. Het antwoord komt uit Bulgarije. Op 15 juli 2019 werd de Bulgaarse nationale belastingdienst gehackt, waardoor fiscale en sociale gegevens van zes miljoen mensen online kwamen te staan.

Een belastingbetaler klaagde de administratie aan. Het Hof van Justitie van de Europese Unie oordeelde op 14 december 2023 het volgende:

• De vrees voor misbruik van gegevens is voldoende om een vergoedbare schade te vormen, zelfs zonder dat men daadwerkelijk slachtoffer is geworden.
• De bewijslast is omgekeerd: de administratie moet bewijzen dat de beveiligingsmaatregelen adequaat waren.
• Het feit dat de schade is veroorzaakt door hackers, ontslaat de administratie niet automatisch van aansprakelijkheid.

Dit arrest interpreteert de AVG (GDPR) en is dus ook in Frankrijk van toepassing.

Informatica terug in het centrum

Om dit te begrijpen, moet informatica terug in het centrum van de discussie. Cybersecurity is de afgelopen jaren verworden tot een mengelmoes van regelgeving, governance en communicatie, waardoor technische vakkennis naar de achtergrond is verdreven.

Er is een kloof tussen de mensen die het beveiligingswerk doen (met technische praktijkkennis) en de mensen die over deze onderwerpen praten zonder echt te weten hoe de dingen werken. Bovendien is er een belangrijke bias in de wereld van IT-beveiliging, waar de Unix-informatica uit de jaren 90-2000 en de daarmee samenhangende beveiligingsmodellen domineren. Dit is met name het geval bij de ANSSI en in veel diensten. Met de komst van de cloud en nu AI, dwingt de implementatie van beveiligingsstrategieën tot samenwerking met steeds meer niet-technische actoren en politici, die vaak de voorkeur geven aan communicatie boven inhoud.

In deze context moet de hacking van de belastingdienst worden gezien. Het probleem is niet dat een aanvaller een systeem kan binnendringen—dat zal altijd gebeuren. Het probleem is dat een inbreuk zo lang duurt om te detecteren en toegang geeft tot veel te veel zaken. Zeker omdat Bercy (het ministerie van Financiën) enkele weken eerder al een andere cyberaanval had ondergaan.

Er rijzen direct drie vragen:

1. Waarom lijkt dit type aanval zich te herhalen?
2. Hoe kan een aanvaller die binnenkomt in een overheidsdienst, met de gegevens vertrekken?
3. Waarom worden de exfiltratie en de gevolgen voor gebruikers zo laat gedetecteerd en gecommuniceerd?

Deze vragen leiden tot twee diepere vraagstukken:

• Is het probleem technisch of organisatorisch?
• In hoeverre versnellen de overgang naar de cloud en later naar AI de inadequatheid van het cyberbeleid van de staat?

1. Waarom lijkt dit type aanval zich te herhalen?

Het patroon is consistent: een account wordt gecompromitteerd, de aanvaller komt in een gevoelig systeem, krijgt toegang tot belangrijke gegevens en exfiltreert deze om ze vervolgens op het darknet te verkopen.

Dit wijst op een systemisch probleem: een initiële inbreuk leidt tot zeer grote risico's en gevolgen. Dit roept de verontrustende vraag op: als de hacker de verkoop van de gegevens niet had aangekondigd, had de overheid het dan überhaupt geweten?

Een eindeloze hack

De herhaling is een feit. Dezelfde hacker claimde eind juli een aanval op de professionele server voor kadastrale gegevens van de DGFiP. Hij claimt 252.149 regels te hebben geëxtraheerd, wat volgens hem meer dan twee miljoen personen betreft: identiteit, geboortedatum en -plaats, adres en kadastrale identifiers. Hij beweert de multifactor-authenticatie (MFA) te hebben omzeild.

Ter herinnering, in het jaar 2026 alleen al:

• Maart: 774.000 studenten bij CNOUS (volgens hackers twee miljoen).
• 1,5 miljoen mensen bij het Secretariaat-generaal van het katholiek onderwijs.
• 243.000 agenten van het Ministerie van Onderwijs.
• Medio april: een lek bij ÉduConnect dat leerlingen trof.

De vraag is niet hoe iemand kan binnendringen (wachtwoorden, VPN-toegang en geprivilegieerde accounts kunnen altijd worden gestolen), maar waarom men, eenmaal binnen, "met de kassa kan vertrekken".

Het historische model van fysieke barrières

Veel systemen zijn ontworpen in een omgeving waar computertoegang werd voorafgegaan door fysieke barrières: een beveiligd gebouw, een badge, een gecontroleerde machine en een intern netwerk. Deze logica leidt ertoe dat er meer vertrouwen wordt geschenkt aan iemand die eenmaal "binnen" is.

Dit is het tegenovergestelde van Zero Trust, het principe waarbij standaard geen enkel account wordt vertrouwd en elke actie continu wordt geverifieerd. Zero Trust vereist echter een moderne architectuur. Oude systemen behouden de eigenschappen van de tijd waarin ze zijn ontstaan: eenmaal binnen, hebt u toegang tot alles.

Covid en toegang op afstand

Covid heeft dit model bruut veranderd. Thuiswerken en VPN's maakten het mogelijk om van buitenaf systemen te bereiken die oorspronkelijk waren ontworpen voor een gesloten omgeving. De toegang werd uitgebreid zonder dat het vertrouwensmodel waarop de systemen rustten, overal werd herbouwd.

Interministeriële chaos

Veel administratieve informatiesystemen zijn primair ontworpen voor hun eigen gebruikers. Maar soms moet er toegang worden verleend aan externe gebruikers of systemen. De hacking van Ficoba lijkt hier een schoolvoorbeeld van: de gecompromitteerde toegang behoorde toe aan een ambtenaar die bevoegd was het bestand te raadplegen in het kader van interministeriële uitwisselingen.

Lokale patches

De herhaling van hacks komt ook doordat incidenten vaak worden behandeld op het niveau van het betreffende ministerie. Correcties worden toegepast (wachtwoordrotaties, aanscherpingen), maar er vindt niet automatisch een transversaal heronderzoek plaats van alle systemen die dezelfde afhankelijkheden delen (VPN's, geprivilegieerde accounts, beheer van rechten).

Het specifieke geval van de belastingen

Het systeem van de belastingen cumuleert bijzonderheden:

• Het is een van de oudste systemen (legacy), sterk gesiloed en hyper-gecontroleerd.
• Het is bewust apart geplaatst vanwege de sensitiviteit, waardoor het buiten de gemeenschappelijke beveiligingsregels valt.
• Het is sterk seizoensgebonden (de piekperiode van de belastingaangifte), wat detectie vlak na deze piek bemoeilijkt.

2. Hoe kan iemand binnenkomen en met de data vertrekken?

De eerste barrière is authenticatie, maar die mag niet de laatste zijn. Als we ervan uitgaan dat een identiteit altijd gecompromitteerd kan worden, moet het systeem blijven controleren wat de gebruiker doet na het inloggen. In de praktijk voelt de staat soms als een "gigantische OneDrive": eenmaal binnen heb je toegang tot bijna alles.

Geprivilegieerde accounts

Administrateurs- of technische accounts hebben veel bredere rechten dan normale gebruikers. De compromittering hiervan transformeert een identiteitsprobleem direct in een massaal toegangsprobleem tot gegevens.

Exfiltratie als aparte stap

Zelfs als een aanvaller binnenkomt, zou een ongebruikelijk volume aan downloads of een massale export een alarm moeten triggeren. De DGFiP stelt dat ze de toegang eind juni hebben stopgezet, maar op dat moment niet hadden gemerkt dat er gegevens waren geëxfiltreerd.

Er zijn drie mogelijke verklaringen voor een niet-gedetecteerde exfiltratie:

1. De extractie wordt nergens gelogd (een onacceptabele ontwerpfout).
2. De aanvaller heeft voldoende privileges verkregen om zijn sporen te wissen.
3. Niemand heeft de moeite genomen te controleren hoe de aanvaller te werk is gegaan.

Vergelijking met Big Tech

Bij platforms als Facebook of LinkedIn is het gebruikelijk dat een nieuw apparaat of browser wordt herkend, dat ongebruikelijke verbindingen worden gemeld en dat exportprocedures streng zijn omkaderd. Google introduceerde voor zijn 85.000 werknemers fysieke beveiligingssleutels (hardware keys) om phishing tegen te gaan, wat resulteerde in een bijna volledige stopzetting van succesvolle phishing-aanvallen. De staat hanteert vaak minder strikte methoden, zoals SMS-codes, die kwetsbaarder zijn.

3. Waarom werd het lek zo laat ontdekt en gecommuniceerd?

Er moet onderscheid worden gemaakt tussen de inbraak, de exfiltratie en de ontdekking van de exfiltratie. De DGFiP ontdekte de inbraak eind juni en stopte de toegang, maar ontdekte het lek pas op 12 augustus toen de data te koop werden aangeboden.

Dit suggereert dat de vertraging in communicatie niet noodzakelijkerwijs een bewuste beslissing was om het lek te verbergen, maar een gebrek aan observatiecapaciteit van het systeem. Men moet precies kunnen reconstrueren welk account handelde, welke gegevens zijn geraadpleegd en in welk volume ze zijn gekopieerd.

De 72-uurs regel

Volgens de AVG moet een datalek binnen 72 uur na ontdekking worden gemeld. De exacte chronologie van de detectie is dus cruciaal om te weten wanneer deze verplichting inging. Daarnaast is er voor professionals de plicht om binnen 72 uur aangifte te doen om verzekeringsdekking te behouden—een regel die voor de staat niet geldt, aangezien zij hun eigen verzekeraar zijn.

De fout van de regering

Terwijl de staat herhaaldelijk gehackt wordt, is de belangrijkste wet voor digitale bescherming (de omzetting van de Europese NIS2-richtlijn) nog steeds niet aangenomen. Deze richtlijn uit 2022 legt een gemeenschappelijke beveiligingsbasis op aan ongeveer 15.000 Franse entiteiten.

De Franse kalender is verbijsterend: presentatie in oktober 2024, adoptie in de Senaat in maart 2025, commissieonderzoek tot september 2025, en daarna niets meer. De behandeling is nu aangekondigd voor september 2026.

De reden voor deze blokkade is bekend: artikel 16 bis, dat de staat verbiedt om "achterdeurtjes" (backdoors) af te dwingen bij versleutelingaanbieders. De DGSI (de binnenlandse veiligheidsdienst) wil niet dat de regelgeving in deze vorm wordt omgezet.

Dit conflict is illustratief: in de VS leidde het afdwingen van achterdeurtjes voor surveillance tot de "Salt Typhoon"-affaire, waarbij Chinese hackers deze achterdeurtjes gebruikten om miljoenen communicaties te compromitteren en zelfs de telefoons van Trump en Vance te hacken.

Frankrijk is inmiddels door de Europese Commissie voor het Hof van Justitie van de EU gesleept omdat het de NIS2-richtlijn niet heeft omgezet. Frankrijk is het meest aangevalle land van Europa en wordt nu vervolgd omdat het de tekst die het zou moeten beschermen, niet heeft aangenomen.

Gevolgen beheren

Voor OSINT-experts en buitenlandse inlichtingendiensten is een dergelijk bestand een goudmijn. Ook voor het georganiseerde misdaadsyndicaat is het waardevol: men kan mensen met hoge inkomens identificeren voor roof of afpersing. Uit de geclaimde data blijkt dat 26.805 particulieren een referentie-inkomen hebben van meer dan 100.000 euro, en 386 mensen meer dan een miljoen.

Het precedent van de Schutbond

Dit scenario is niet theoretisch. In oktober 2025 werden de gegevens van bijna een miljoen leden van de Franse Schutbond gestolen. In de maanden daarna verschenen personen bij leden thuis die zich voordeden als politieagenten om wapens afhandig te maken. Het ministerie van Binnenlandse Zaken erkende dat twintig tot dertig incidenten direct aan deze hacking gekoppeld konden worden.

Dit roept de vraag op: hoeveel exfiltraties zijn er uitgevoerd door actoren die hun daad niet publiekelijk hebben aangekondigd?

4. Is het probleem technisch of organisatorisch?

Veel experts wijzen naar het programma "Action publique 2022", dat streefde naar 100% gedigitaliseerde administratieve procedures. Het doel is grotendeels behaald, maar de digitale voetafdruk van de staat is waarschijnlijk veel sneller gegroeid dan de organisaties die deze moeten beheren.

Technische macht en besluitvorming

Het probleem is niet een gebrek aan competent personeel, maar dat de mensen die de systemen echt begrijpen niet altijd de macht hebben om architecturen op te leggen of gevaarlijke projecten stop te zetten. Er is sprake van een gebrek aan middelen, een gebrek aan praktische zin en een gebrek aan expertise op directieniveau.

De wet van Conway

Systemen reflecteren de structuur van de organisaties die ze produceren. In Frankrijk blijven ministeries verantwoordelijk voor hun eigen informatiesystemen, terwijl de DINUM (interministeriële directie van het digitale) slechts coördineert. Dit leidt tot een versnipperd landschap:

• Het Ministerie van Defensie heeft een centraal en beheerst systeem.
• Het Ministerie van Binnenlandse Zaken is een federatie van prefecturen met elk hun eigen autonomie.

Deze decentralisatie wordt een probleem wanneer het een gemeenschappelijk beveiligingsniveau verhindert voor systemen die toch met elkaar verbonden zijn.

5. De cloud: de eerste slecht onderhandelde wending

De overgang naar de cloud was niet slechts een verplaatsing van servers, maar een fundamentele wijziging van het model (gedistribueerde systemen, meerdere identiteiten, toegang op afstand). Hoewel er sinds 2018 een cloud-strategie is, was de migratie van grote, gevoelige historische systemen in maart 2026 nog steeds een "volgende stap".

De pandemie heeft deze tegenstrijdigheid versneld: toegang op afstand werd op grote schaal uitgerold voordat de systemen en organisaties klaar waren om in dit nieuwe model te functioneren.

6. AI: de volgende wending

AI verandert de manier waarop zwakheden worden gezocht en geëxploiteerd: automatisering en snellere analyse verminderen de menselijke kosten van offensieve operaties.

Een doctrine van achterstand

Frankrijk behandelt dit onderwerp vaak als iets voor de toekomst. De ANSSI gaf begin 2026 nog aan geen kennis te hebben van cyberaanvallen op Franse actoren met behulp van AI, terwijl Britse agentschappen juist een versnelling in offensieve capaciteiten documenteerden. Er is een kloof tussen een dreiging die van schaal verandert en een publiek discours dat dit nog niet heeft geïntegreerd.

Asymmetrie tussen aanval en verdediging

Verdedigen is oneindig duurder dan aanvallen. De verdediger moet elk systeem, elk account en elke verbinding permanent beschermen. De aanvaller hoeft slechts één deur, één keer te vinden. AI versnelt beide kampen, maar het gat wordt groter: de verdediger versnelt een eindeloze taak, de aanvaller versnelt een taak die stopt zodra de deur gevonden is.

De Amerikaanse pivot

De VS trekken zich terug uit de collectieve Europese cyberbescherming. Ze verschuiven hun focus naar offensieve operaties en besteden dit steeds meer uit aan de private sector. In 18 maanden tijd zijn diverse mechanismen voor het delen van methoden en waarschuwingen (zoals de Global Forum on Cyber Expertise) verlaten of afgebroken.

De opkomst van Chinese modellen

Het zwaartepunt van open AI is verschoven van Californië naar China. Volgens Hugging Face maken Chinese modellen 41% van de downloads uit. Frankrijk bevindt zich in de positie van een "middelgroot land": goede ingenieurs, maar geen eigen capaciteit om de tools te produceren die het verschil maken. Er is geen "AI-afschrikking" zoals er wel een nucleaire afschrikking is.

Conclusie

Een identiteit zal altijd gecompromitteerd worden. Wat een veilig systeem onderscheidt van een fragiel systeem, is wat er gebeurt daarna: hoe ver de aanvaller kan gaan, wat hij kan kopiëren, wat hij kan exfiltreren, en hoe snel men dit merkt. Op deze drie punten is de DGFiP gefaald, en zij is niet de enige.

De bescherming en de competenties bestaan, maar de macht om deze overal op te leggen ontbreekt. Frankrijk heeft de wending naar de cloud gemist, is bezig de wending naar AI te missen, en de wet die het land zou moeten beschermen wacht nog steeds op stemming.

De hacking van de belastingdienst is geen geïsoleerd incident. Het is de maatstaf van wat de staat momenteel nog in staat is te beheersen.