Vertrouwensbreuk: Hoe de cyberaanvallen op Liechtenstein en Frankrijk de kwetsbaarheid van overheidsdatabases blootleggen

In de zomer van 2026 troffen twee afzonderlijke cyberaanvallen Europese overheidsregisters met zeer gevoelige, door de staat beheerde gegevens. Eén aanval legde het anti-witwas-transparantieregister van Liechtenstein plat, de andere brak in op de nationale belastingdatabase van Frankrijk. Samen laten ze een verontrustend patroon zien: overheidsfinanciële registers zijn zeer aantrekkelijke maar moeilijk te verdedigen doelwitten, zowel voor spionage als voor criminele afpersing.

Het Liechtenstein-incident: een transparantie-instrument als risicofactor

Onbekende hackers wisten in de nacht van 29 op 30 juli 2026 ongeautoriseerd toegang te krijgen tot het Register van Uiteindelijk Belanghebbenden (VwbP) van Liechtenstein. Ze kopieerden gegevens van ongeveer 31.000 rechtspersonen—waaronder bedrijven, stichtingen en trusts . Dit register is ontworpen om de eigendoms- en zeggenschapsstructuren achter rechtspersonen in kaart te brengen, als middel om witwassen en terrorismefinanciering te bestrijden. De gegevens onthullen wie de uiteindelijke eigenaar of controlerende partij is van duizenden in het vorstendom geregistreerde entiteiten .

Er zijn geen bankrekeninggegevens buitgemaakt, maar de identiteits- en eigendomsinformatie is uiterst gevoelig voor een rechtsgebied dat bekend staat om vermogensbeheer . De daders zijn nog onbekend .

Een week na de eerste inbraak haalde de Liechtensteinse overheid vier extra financiële systemen offline—waaronder het btw-portaal (eMWST-Portal), het juridische systeem Lides, het centrale rekeningenregister en het belastinginformatieportaal Intax . Deze escalerende reactie suggereert dat de inbraak mogelijk omvangrijker was dan eerst gemeld, of dat er een bredere veiligheidsbevriezing nodig was.

Het Franse DGFiP-incident: identiteitsfraude op nationale schaal

Een kwaadwillende actor verkreeg ongeautoriseerde toegang tot het informatiesysteem van de Franse Direction Générale des Finances Publiques (DGFiP) door identiteitsfraude—met een gestolen identiteit werd ingelogd op een interne VPN en een tool voor het opvragen van belastingplichtigen . De inbraak vond plaats eind juni 2026, maar werd pas op 13 augustus 2026 bevestigd en openbaar gemaakt door het Franse ministerie van Economische Zaken .

De aanvaller beweert 678.438 belastingregels te hebben buitgemaakt, die betrekking hebben op ongeveer 393.000 particulieren en 286.000 professionals/bedrijven . De gegevens omvatten namen, adressen, geboortedata, gezinssituatie, burgerservicenummers, opgegeven inkomens en belastingtarieven . Het gestolen bestand zou te koop worden aangeboden voor enkele duizenden euro's .

De Franse overheid bevestigde de "onrechtmatige toegang" en dat er gegevens zijn ingezien en gekopieerd. Uit voorlopig onderzoek bleek dat de toegang eind juni was afgesloten toen de inbraak werd ontdekt, maar de data was toen al gekopieerd . Het is de tweede datalek bij de Franse belastingdienst in 2026 .

Wat deze incidenten zeggen over de kwetsbaarheid van overheidsdata

Gecentraliseerde data is één zwakke plek

Beide landen hadden gevoelige financiële gegevens samengebracht in gecentraliseerde overheidsregisters—uiteindelijk belanghebbenden in Liechtenstein, belastinggegevens in Frankrijk. Dit maakt ze uiterst aantrekkelijke doelwitten: één inbraak levert intelligence of losgeldwaardige data op van duizenden entiteiten.

Identiteitsfraude is een groeiende aanvalsvector

De Franse aanval slaagde niet door complexe malware, maar door identiteitsdiefstal om VPN-toegang te krijgen—een social engineering-aanpak waar traditionele netwerkbeveiliging vaak blind voor is . Dit wijst erop dat aanvallers steeds vaker proberen legitieme toegangswegen te misbruiken in plaats van technische barrières te doorbreken.

Grote kloof tussen detectie en openbaarmaking

De Franse inbraak vond eind juni plaats, maar werd pas half augustus openbaar—een gat van meer dan zes weken. De aanval op Liechtenstein werd binnen enkele dagen ontdekt, maar de escalerende impact (vier bijbehorende systemen die een week later offline gingen) suggereert dat de eerste beperkende maatregelen de inbraak niet volledig hebben gestopt .

Transparantieregisters creëren privacyrisico's

Het Liechtensteinse register is een wettelijk transparantie-instrument om witwassen te bestrijden. Maar juist het doel—echte personen koppelen aan bedrijfsstructuren—betekent dat een datalek direct personen blootstelt die legitieme privacyverwachtingen kunnen hebben . Dezelfde spanning geldt voor de Franse belastingdatabase, waarin de volledige financiële profielen van burgers zijn verzameld.

Kleine staten zijn niet per se veiliger

Liechtenstein is een rijk, sterk gedigitaliseerd financieel centrum, maar toch werd het kernregister met schijnbaar gemak gekraakt. De aanval suggereert dat kleinere rechtsgebieden mogelijk de continue dreigingsmonitoring en snelle responscapaciteit van grotere landen missen—en dat financiële geheimhoudingscentra een topprioriteit zijn voor zowel statelijke als criminele actoren.