Kebocoran Data Pajak dan Kepemilikan: Bagaimana Serangan Siber ke Liechtenstein dan Prancis Membongkar Celah Keamanan Basis Data Keuangan Pemerintah

Seminggu setelah peretasan awal, Pemerintah Liechtenstein mematikan empat sistem keuangan pemerintah tambahan—termasuk portal PPN (eMWST-Portal), sistem peradilan Lides, register rekening pusat, dan portal informasi pajak Intax. Respons berantai ini mengindikasikan bahwa peretasan mungkin lebih luas dari yang dilaporkan awal atau memicu pembekuan keamanan yang lebih besar .

Pembobolan DGFiP Prancis: Pencurian Identitas Skala Nasional

Seorang pelaku jahat mendapatkan akses tidak sah ke sistem informasi Direction Générale des Finances Publiques (DGFiP) Prancis melalui peniruan identitas—menggunakan identitas curian untuk mengakses VPN internal dan alat pencarian wajib pajak . Intrusi terjadi pada akhir Juni 2026, namun pelanggaran baru dikonfirmasi dan diumumkan secara publik oleh Kementerian Ekonomi Prancis pada 13 Agustus 2026 .

Pelaku mengklaim telah mengekstrak 678.438 baris data pajak, yang mempengaruhi sekitar 393.000 individu dan 286.000 profesional/bisnis . Data yang terekspos meliputi nama, alamat, tanggal lahir, status keluarga, nomor identifikasi pajak, pendapatan yang dilaporkan, dan tarif pajak . File yang dicuri dilaporkan ditawarkan untuk dijual secara online seharga beberapa ribu euro .

Pemerintah Prancis mengonfirmasi "akses tidak sah" tersebut dan bahwa data telah dikonsultasikan dan diekstraksi. Investigasi awal mengonfirmasi bahwa akses telah diputus pada akhir Juni saat terdeteksi, namun data sudah sempat disalin . Ini adalah pelanggaran data pajak kedua Prancis di tahun 2026 .

Apa yang Diungkapkan Kedua Insiden Ini tentang Kerentanan Data Pemerintah

Sentralisasi Data adalah Titik Gagal Tunggal

Kedua negara telah mengonsolidasikan data keuangan sensitif ke dalam registri pemerintah terpusat—kepemiliman manfaat di Liechtenstein, catatan wajib pajak di Prancis. Hal ini membuatnya menjadi target yang sangat menarik: satu pelanggaran menghasilkan data intelijen atau data bernilai tebusan dari ribuan entitas.

Peniruan Identitas Adalah Vektor Serangan yang Meningkat

Serangan di Prancis berhasil bukan melalui malware yang kompleks, melainkan melalui pencurian identitas yang digunakan untuk mendapatkan akses VPN—pendekatan rekayasa sosial yang sering lolos dari pertahanan perimeter tradisional . Ini menunjukkan bahwa penyerang beralih ke mengeksploitasi jalur akses yang sah daripada menerobos hambatan teknis.

Kesenjangan Deteksi-ke-Pengungkapan Sangat Besar

Intrusi di Prancis terjadi pada akhir Juni tetapi baru diungkapkan pada pertengahan Agustus—kesenjangan lebih dari enam minggu. Serangan di Liechtenstein terdeteksi dalam hitungan hari, namun dampak berantainya (empat sistem terkait dimatikan seminggu kemudian) menunjukkan bahwa penahanan awal tidak sepenuhnya menghentikan kompromi .

Registri Transparansi Menciptakan Eksposur Privasi

Registri Liechtenstein adalah alat transparansi hukum yang dimaksudkan untuk memerangi pencucian uang. Namun, tujuannya—menghubungkan orang sungguhan dengan struktur korporat—berarti kebocoran data secara langsung mengekspos individu yang mungkin memiliki harapan privasi yang sah . Ketegangan yang sama berlaku untuk basis data pajak Prancis, yang mengumpulkan profil keuangan lengkap warga negara.

Negara Kecil Belum Tentu Lebih Aman

Liechtenstein adalah pusat keuangan yang kaya dan sangat terdigitalisasi, namun registri transparansi intinya diretas dengan mudah. Serangan ini menunjukkan bahwa yurisdiksi yang lebih kecil mungkin kekurangan kapasitas pemantauan ancaman berkelanjutan dan respons cepat seperti negara yang lebih besar—dan bahwa pusat kerahasiaan keuangan adalah target utama bagi aktor negara dan kriminal.