Kebocoran data pajak Prancis menjadi salah satu insiden siber pemerintah yang paling serius pada 2026. Sekitar 678.000 individu dan profesional untuk sementara diperkirakan terdampak setelah penyerang memperoleh akses menggunakan identitas curian milik pegawai otoritas pajak dan pihak ketiga yang memang memiliki jalur resmi ke sistem.
Namun bagian paling mengkhawatirkan bukan hanya jumlah korbannya.
Otoritas pajak Prancis sebenarnya sempat mendeteksi aktivitas mencurigakan dan memutus akses penyerang. Masalahnya, pemeriksaan awal tidak berhasil memastikan bahwa data sudah dibawa keluar.
Publik baru mengetahui skala pencurian itu sekitar 47 hari setelah intrusi pertama, ketika pelaku sendiri muncul di forum peretas dan menawarkan data yang diklaim berhasil dicuri.
Dengan kata lain, organisasi berhasil mengetahui bahwa seseorang masuk, tetapi belum mengetahui apa yang dilakukan orang tersebut selama berada di dalam.
Kasus ini menunjukkan satu perubahan penting dalam keamanan siber modern: ancaman terbesar tidak selalu datang dari celah perangkat lunak.
Kadang, satu identitas yang sah sudah cukup untuk membuka pintu.
Kebocoran Data Pajak Prancis Berasal dari Dua Intrusi
Banyak pemberitaan menggambarkan insiden DGFiP seolah terjadi dalam satu serangan.
Padahal, berdasarkan kronologi yang dihimpun dari informasi resmi, terdapat dua intrusi berbeda.
Intrusi pertama terjadi pada 26 Juni 2026 dan menyasar sistem informasi utama Direction générale des Finances publiques atau DGFiP, lembaga yang bertanggung jawab atas pemungutan pajak dan pengelolaan berbagai data keuangan publik di Prancis.
Aktivitas mencurigakan kemudian terdeteksi. Akses diputus dan pemeriksaan dilakukan.
Sayangnya, saat itu DGFiP belum mengetahui bahwa data telah diekstraksi.
Lalu pada 29 Juli, intrusi kedua terjadi. Kali ini targetnya adalah server data kadaster atau SPDC.
Baru pada 12–13 Agustus, aktor dengan alias ZeroBytes mengklaim serangan tersebut di PwnForums dan menawarkan data yang disebut berasal dari sistem DGFiP. Pemerintah Prancis kemudian mengonfirmasi intrusi pada 13 Agustus dan mengumumkan angka sementara sehari setelahnya.
Urutan waktunya penting.
Deteksi serangan dan memahami dampak serangan adalah dua hal berbeda.
Sebuah organisasi bisa berhasil mengusir penyusup, tetapi tetap gagal mengetahui apakah informasi sensitif sudah disalin sebelumnya.
Berapa Banyak Data Pajak Prancis yang Bocor?
Angka yang paling banyak dikutip adalah 678.000.
Namun angka itu belum final.
DGFiP menyebutnya sebagai angka sementara yang masih dapat berubah seiring penyelidikan. Selain itu, 678.000 bukan seluruhnya wajib pajak perorangan. Angka tersebut merupakan gabungan individu dan kalangan profesional.
Dalam perkembangan terbaru pada 17 Agustus, DGFiP menyebut sekitar 350.000 individu terdampak. Selain itu, sekitar 200.000 akun dalam berkas kadaster ikut masuk dalam lingkup insiden.
Di sisi lain, ZeroBytes mengeluarkan klaim yang jauh lebih besar.
Pelaku menyebut sekitar 2 juta pemilik properti dan bahkan mengklaim mampu menjangkau data hingga puluhan juta warga.
Angka tersebut belum diverifikasi pemerintah Prancis.
Bahkan, klaim sekitar 2 juta orang bukan berarti pelaku memiliki 2 juta baris data. Menurut ZeroBytes, sekitar 252 ribu baris dalam data kadaster dapat mencakup lebih dari dua juta pemilik karena satu properti bisa memiliki beberapa pemegang hak.
Karena itu, angka resmi dan klaim pelaku tidak boleh dicampurkan.
Untuk saat ini, 678.000 tetap menjadi angka resmi sementara dalam kasus kebocoran data pajak Prancis.
Data yang Dicuri Jauh Lebih Sensitif daripada Email
Kebocoran data sering kali identik dengan nama, email, nomor telepon, atau alamat.
Kasus DGFiP berbeda.
Untuk individu, informasi yang disebut terdampak mencakup:
- nama lengkap;
- penghasilan kena pajak referensi;
- tarif pemotongan pajak;
- klasifikasi kuosien keluarga;
- alamat properti;
- luas properti;
- serta riwayat permintaan administratif.
Sementara itu, data badan usaha mencakup nama perusahaan, nomor SIREN, alamat bisnis, dan alamat perwakilan resmi.
Ada satu hal yang perlu ditegaskan.
Akun pengguna di layanan Finances publiques disebut tidak ikut dikompromikan. Identitas login dan password juga tidak termasuk dalam data yang diumumkan terdampak. Data perbankan pun tidak disebut sebagai bagian dari kebocoran tersebut.
Meski demikian, data yang terekspos tetap berbahaya.
Bayangkan seseorang menelepon dan mengaku sebagai petugas pajak.
Ia menyebut nama Anda.
Kemudian ia menyebut angka penghasilan kena pajak yang benar, tarif pemotongan pajak yang tepat, serta alamat rumah yang sesuai.
Telepon seperti itu tidak lagi terdengar seperti phishing murahan.
Ia terdengar seperti panggilan resmi.
Inilah alasan kebocoran data pajak Prancis berpotensi menjadi bahan bakar yang sangat kuat untuk vishing, spear phishing, impersonation, dan social engineering.
Ketika Penipu Tahu Penghasilan dan Alamat Rumahmu
Risiko kebocoran tersebut tidak berhenti pada penipuan daring.
Kombinasi antara penghasilan, alamat, dan informasi properti juga dapat digunakan untuk membuat profil target yang jauh lebih detail.
Seorang pelaku tidak lagi hanya mengetahui di mana korban tinggal.
Ia juga dapat memiliki gambaran mengenai kemampuan finansial korban.
Dalam konteks kejahatan fisik, kombinasi seperti ini tentu mengkhawatirkan.
Data riset mencatat sekitar 30 serangan fisik terhadap pemegang aset kripto di Prancis pada semester pertama 2026, dibandingkan 19 kasus sepanjang 2025. Namun belum ada bukti yang menghubungkan insiden-insiden tersebut secara langsung dengan kebocoran DGFiP.
Karena itu, tidak tepat jika mengatakan kebocoran pajak sudah menyebabkan perampokan.
Yang bisa dikatakan adalah bahwa data seperti penghasilan dan alamat dapat mempermudah penjahat memilih target.
Informasi yang berguna bagi pemerintah untuk mengelola pajak berubah menjadi data intelijen ketika jatuh ke tangan kriminal.
Bukan Zero-Day: Kredensial Curian Jadi Pintu Masuk
Ini bagian terpenting dari kasus DGFiP.
Sejauh informasi resmi yang tersedia, pintu masuknya bukan celah perangkat lunak spektakuler.
Pemerintah Prancis menyatakan penyerang menggunakan identitas curian milik seorang pegawai DGFiP dan seorang pihak ketiga yang memiliki akses resmi ke sistem.
Istilah pihak ketiga di sini sangat penting.
Sistem pajak tidak hanya digunakan pegawai internal. Notaris, juru sita, pemerintah daerah, dan berbagai pihak lain juga memiliki akses tertentu agar proses administrasi dapat berjalan.
Akses tersebut memang diperlukan.
Namun setiap akun tambahan juga berarti satu identitas tambahan yang harus diamankan.
ZeroBytes mengklaim masuk menggunakan VPN dengan kredensial curian dan berhasil melewati autentikasi multifaktor atau MFA. Untuk server SPDC, pelaku bahkan mengklaim tidak membutuhkan VPN.
Akan tetapi, bagian ini belum dapat dianggap fakta resmi.
DGFiP belum mengonfirmasi secara terbuka bagaimana MFA bisa dilewati, sementara pemerintah membantah klaim pelaku bahwa akses masih bertahan.
Jadi yang sudah bisa dipastikan bukan cara MFA dilewati.
Yang bisa dipastikan adalah identitas manusia menjadi bagian penting dari jalur serangan.
Mengapa Pencurian Data Tidak Langsung Terdeteksi?
DGFiP menyatakan pemeriksaan awal terhadap aktivitas mencurigakan tidak menunjukkan bahwa intrusi telah menyebabkan pencurian data.
Salah satu analisis dalam bahan riset menunjukkan bahwa pelaku diduga menghindari pengambilan data dalam jumlah besar sekaligus. Sebaliknya, data diambil perlahan agar aktivitasnya tidak mudah terlihat sebagai anomali.
Di sinilah tantangannya.
Banyak sistem keamanan sangat bagus mendeteksi kejadian mencolok:
transfer data yang sangat besar;
ribuan permintaan dalam waktu singkat;
login dari negara yang tidak biasa;
atau lonjakan trafik.
Namun bagaimana jika penyerang memakai akun yang sah?
Bagaimana jika aktivitasnya tidak berbeda jauh dari pekerjaan pengguna sehari-hari?
Pada kondisi seperti itu, sistem tidak lagi hanya perlu menjawab:
“Siapa yang login?”
Sistem juga harus mampu bertanya:
“Apakah perilaku orang yang login ini masuk akal?”
Karena itu, identity security dan pemantauan perilaku pengguna semakin penting.
Prancis Sudah Mengalami Pola Serupa
Kasus DGFiP bukan pertama kalinya kredensial menjadi titik lemah dalam sistem pemerintah Prancis.
Pada Februari 2026, registri rekening bank nasional FICOBA mengalami insiden yang memengaruhi sekitar 1,2 juta rekening.
Modusnya memiliki kemiripan yang sulit diabaikan: identifikasi login milik seorang pegawai kementerian digunakan untuk mengakses dan menyalahgunakan data.
Belum ada bukti resmi bahwa insiden FICOBA dan DGFiP dilakukan oleh kelompok yang sama.
Jadi keduanya tidak boleh dipaksa menjadi satu kampanye.
Namun pola risikonya serupa:
kredensial sah diperoleh → akses digunakan → data diambil → dampak tidak langsung terlihat.
Dua kasus dalam lingkungan pemerintah yang sama dalam rentang sekitar enam bulan menunjukkan bahwa keamanan identitas bukan sekadar isu teknis.
Ia sudah menjadi risiko operasional.
Pemerintah Prancis Bentuk Sel Krisis dan Libatkan ANSSI
Setelah skala kebocoran data pajak Prancis semakin jelas, pemerintah meningkatkan respons.
Pada 17 Agustus, Perdana Menteri Sébastien Lecornu memimpin sel krisis antarkementerian.
ANSSI, badan keamanan siber nasional Prancis, diminta melakukan audit mendalam untuk memastikan kondisi serta akar penyebab insiden.
Selain itu, DGFiP diminta memberi tahu setiap korban secara individual mengenai data apa yang kemungkinan terdampak dan langkah apa yang sebaiknya dilakukan. Pengiriman email notifikasi mulai berjalan pada malam 17 Agustus.
Pemerintah juga mempercepat program pengamanan administrasi publik yang sebelumnya mendapat alokasi sekitar €200 juta.
Sementara itu, jalur hukum berjalan melalui laporan kepada CNIL dan penyelidikan yang ditangani Office anti-cybercriminalité.
Hasil audit yang lebih lengkap masih ditunggu.
Artinya, cerita ini belum selesai.
Apa Pelajaran Kebocoran DGFiP untuk Indonesia?
Kasus Prancis relevan bagi Indonesia, tetapi perbandingannya harus hati-hati.
Tidak ada dasar untuk menyatakan bahwa Coretax mengalami kelemahan yang sama.
Namun DGFiP menunjukkan bahwa keamanan sistem tidak hanya bergantung pada firewall, server, atau audit jaringan.
Kredensial pengguna dan pihak ketiga juga merupakan bagian dari perimeter keamanan.
Indonesia memiliki ekosistem pajak yang juga melibatkan konsultan, Penyedia Jasa Aplikasi Perpajakan, biro administrasi, pegawai, dan berbagai pihak lain.
Selain itu, DJP pernah memperingatkan masyarakat tentang jasa tidak resmi atau “joki Coretax” yang meminta NIK, NPWP, dan password wajib pajak untuk membantu aktivasi akun atau pengisian SPT.
Di sinilah pelajaran Prancis menjadi relevan.
Di DGFiP, penyerang harus mendapatkan identitas yang sah agar bisa masuk.
Di Indonesia, risiko muncul ketika pemilik akun sendiri menyerahkan kredensial kepada pihak yang tidak berwenang.
Keduanya memang bukan kasus yang sama.
Namun prinsip keamanannya identik:
password yang sah tetap berbahaya jika orang yang memegangnya salah.
Karena itu, keamanan perpajakan tidak boleh hanya membahas apakah server cukup kuat.
Pertanyaan yang sama pentingnya adalah:
siapa yang memiliki akses;
berapa banyak pihak ketiga yang dapat masuk;
bagaimana kredensial disimpan;
dan bagaimana aktivitas akun yang sah dipantau.
Kebocoran Data Pajak Prancis Menunjukkan Login Adalah Perimeter Baru
Jumlah korban akhir masih belum selesai dihitung.
Hasil audit ANSSI juga belum diterbitkan.
Klaim ZeroBytes mengenai jutaan korban, kemampuan melewati MFA, serta akses yang disebut masih bertahan belum dapat diverifikasi secara independen.
Namun kebocoran data pajak Prancis sudah memberi satu pelajaran yang cukup jelas.
Serangan siber tidak selalu membutuhkan zero-day.
Tidak selalu membutuhkan malware baru.
Tidak selalu membutuhkan cara untuk menjebol firewall.
Kadang penyerang hanya membutuhkan satu hal yang sudah dipercaya sistem:
identitas yang sah.
Ketika kredensial tersebut jatuh ke tangan yang salah, firewall mungkin tidak melihat seorang peretas.
VPN bisa melihat pengguna resmi.
Aplikasi melihat login yang valid.
Dan sistem menganggap orang yang datang memang berhak berada di sana.
Karena itu, keamanan modern tidak cukup hanya membangun tembok yang semakin tinggi.
Kita juga harus tahu siapa yang memegang kuncinya, kapan kunci itu digunakan, dan apakah orang yang menggunakannya masih orang yang sama.
Itulah pelajaran terbesar dari kebocoran data pajak Prancis.
Di era cloud dan akses jarak jauh, login sudah menjadi perimeter baru keamanan siber.