法国国家网络安全机构 ANSSI 于 2026 年 9 月 29 日发布报告，披露法国公共财政总局（DGFIP）在 2026 年 6 月至 8 月间遭入侵。攻击者利用信息窃取木马采集的员工口令登录仅需单因素认证的内部门户，在约七周内窃取超过 35 万名个人与 25 万家企业的税务数据，以及近 43.5 万户家庭的地籍信息。ANSSI 明确指出，本次入侵没有依赖零日漏洞、定制恶意软件或复杂利用链。
事件概述
主要受影响系统是 E-Contact，即纳税人用于与 DGFIP 通信的消息平台。DGFIP 表示，涉及约 35 万名个人与 25 万家企业的数据，其中个人数据包括税务识别号、身份与联系方式、家庭状况、应税参考收入与预扣税率，以及双方往来消息列表；不足 250 人的消息正文可能被查看。企业侧泄露公司名称、SIREN 注册号、地址与通信摘要，不足 2076 家企业的消息正文可能被查看。需注意的是，纳税人本人在 impots.gouv.fr 的账号与口令并未被攻破。
攻击链与失陷路径
ANSSI 还原出两条并行的攻击路径：
- 路径一：窃取员工口令进入内部网络。约三个月内，数十个 DGFIP 员工口令被窃取，调查认为很可能来自未受 DGFIP 管理的个人设备上的信息窃取木马。PIGP 与 ADER 两个内部门户仅要求口令，无第二因素，拿到口令即等于拿到访问权限。攻击者还借助教育部受损系统进入跨部门政府网络 RIE，进而触达本不该从该网段访问的敏感应用。
- 路径二：绕过 APEX 伙伴门户的一次性验证码。APEX 供公证员、土地测量师等外部伙伴使用，要求口令加邮件一次性验证码。一家私营测量公司的电脑疑被入侵，攻击者借此绕过邮件验证码，于 7 月 27 日至 8 月 8 日取出近 43.5 万户的地籍信息。
更关键的是检测环节的连续失效。6 月 7 日可疑活动触发告警并重置了口令，但安全团队未察觉攻击者已从 PIGP 转向 ADER；6 月 23 日另一账号告警后，攻击者开始经 ADER 自动分页抓取 E-Contact 数据，次日早晨重置口令时既有 ADER 会话仍处于活动状态，数据又持续外流近 16 小时。DGFIP 的 SOC 完全未监控 ADER 门户，也未对夜间登录、VPN 连接、来自印度 IP 与已知恶意地址的连接、异常请求量与数据量等信号做关联分析——6 月 22 日至 25 日约 11GB 数据外传未触发任何告警。事件最终由攻击者本人于 8 月 12 日在网络论坛公开认领才被确认。
影响评估
攻击者使用的账号并未持有特殊管理权限，却仍能批量读取数十万条记录，暴露出最小权限与数据访问量控制的双重失效。泄露数据包含与已验证税务识别号绑定的应税收入与预扣税率，受影响个人面临以精确财务细节包装的定向钓鱼与欺诈风险提升。本次事件也显示，未受管理终端即便不属于组织资产，仍会构成组织的实际攻击面。
修复建议
DGFIP 已停用 PIGP 与 ADER 的员工访问，并启动整改：全面推行多因素认证、部署数据量监控以标记异常批量读取、禁止员工使用个人设备访问工作系统。对其他使用单因素口令认证、承载敏感记录的政府与行业门户而言，可复用的经验有三点：会话管理与口令重置解耦，重置口令必须同步终止所有活动会话；把访问量与请求频率作为独立检测维度，合法身份的超量读取同样需要拦截；跨网段不做传递性信任，任一部门的失陷不应自动换来到达其他敏感系统的有效网络位置。