Ranskan verohallinnon tietomurto paljastaa kryptoturvan katvealueen pankkitileillä
- DGFiP vahvisti luvattoman pääsyn FICOBA-pankkitilirekisteriin, ja noin 1,2 miljoonaa tiliä oli tietomurron kohteena.
- Tunkeutuja käytti DGFiP:n ulkopuolisen viranomaisen työntekijän tunnuksia sen sijaan, että olisi hyökännyt suoraan verohallinnon järjestelmiin.
- Rekisteri sisältää IBAN- ja henkilötiedot mutta ei tilien saldoja tai tapahtumahistoriaa.
- Sama IBAN-pohjainen SEPA-mekanismi koskee kryptopörssien euromääräisiä talletuksia koko SEPA-alueella, Suomi mukaan lukien.
Ranskan verohallinnon pankkitilirekisteriin päästiin käsiksi ulkopuolisen viranomaisen työntekijän tunnuksilla, ja vuotaneet IBAN-tiedot voivat periaatteessa johtaa kryptopörssien käyttäjien jäljille ilman, että yhtäkään lompakkoa olisi murrettu.
Lompakon siemensanat voivat olla tallessa, mutta krypto-omistuksen jäljille voi päästä ihan muuta reittiä. Ranskan verohallinto DGFiP vahvisti, että sen kansalliseen pankkitilirekisteriin FICOBAan päästiin luvattomasti käsiksi.
Tunkeutuja pääsi katsomaan noin 1,2 miljoonaa tiliä, alle prosenttia koko rekisteristä.
Tunkeutuminen alkoi tammikuun lopulla, ja se havaittiin 13. helmikuuta 2026, kertoo DGFiP tiedotteessaan. FICOBA sisältää IBAN- ja RIB-tunnukset sekä tilinomistajan nimen ja postiosoitteen. Rekisterissä ei ole tilien saldoja eikä tapahtumahistoriaa.
Murtautuminen ei kohdistunut suoraan DGFiP:n omiin järjestelmiin. Parlamentin kyselyvastauksen mukaan tunkeutuja käytti DGFiP:n ulkopuolisen viranomaisen työntekijän tunnuksia päästäkseen rekisteriin käsiksi.
DGFiP varoittaa, että vuotaneet IBAN-tiedot voivat johtaa entistä uskottavampaan tietojenkalasteluun ja yrityksiin väärentää SEPA-suoraveloitusvaltuutuksia. Pankkeja on varoitettu, ja tietomurron kohteeksi joutuneille ilmoitetaan asiasta erikseen.
Kryptomaailman kannalta yhteys on melko suora. Euromääräiset talletukset pörsseihin ja säilytyspalveluihin kulkevat tyypillisesti SEPA-tilisiirtoina, jotka on sidottu IBAN-numeroon ja yksilölliseen maksuviitteeseen. Kun tämä off-chain-tieto yhdistetään pörssien KYC-tietoihin eli asiakkaan tuntemisvelvoitteen mukaisiin tunnistetietoihin, henkilöllisyys voidaan periaatteessa kytkeä lohkoketjun tapahtumiin.
Yhtään lompakkoa tai pörssiä ei tarvitse murtaa.
Rikostutkinnan näkökulmasta yhteys ei ole hypoteettinen. Lohkoketjuanalytiikkaan erikoistunut TRM Labs kuvaa vuosiraportissaan, kuinka tutkijat yhdistävät lohkoketjun tapahtumia oikeisiin henkilöihin nimenomaan pörssien KYC-tietojen ja pankkijärjestelmän datan avulla. Sama tietopohja palvelee myös rikollisia: mitä enemmän IBAN- ja henkilötietoja on rikollisten käsissä, sitä helpompi on rakentaa uskottava kohdennettu huijaus.
Pörsseille ja säilytyspalveluille tapaus on muistutus siitä, että myös kumppaniorganisaatioiden tunnukset ovat osa omaa hyökkäyspintaa. Koska tunkeutuminen tapahtui DGFiP:n ulkopuolisen viranomaisen työntekijän tunnuksilla, ongelma koskee koko maksuketjua, ei yhtä yksittäistä järjestelmää. Talletusviitteiden eheyden valvonta ja pankkikumppaneiden tunnistautumiskäytännöt ansaitsevat siksi yhtä paljon huomiota kuin lompakoiden avainten hallinta.
Tapaus muistuttaa, ettei kryptovaluuttojen turva rakennu pelkästään siemensanojen ja pörssien kuumien lompakoiden varaan. Pankkitilirekisterit, veroviranomaiset ja SEPA-järjestelmä muodostavat oman hyökkäyspintansa. Sama mekanismi koskee koko SEPA-aluetta, myös Suomea, jossa kryptovaluuttojen euro-ostot kulkevat käytännössä aina pankkisiirron kautta.
Ranskan tapaus itsessään rajoittuu ranskalaisiin tileihin, eikä toistaiseksi ole julkista näyttöä siitä, että vuotaneita tietoja olisi käytetty kryptovaroihin kohdistuviin huijauksiin. DGFiP:n mukaan seuranta jatkuu, ja pankeille on annettu ohjeet epäilyttävien suoraveloitusten tunnistamiseen. Jää nähtäväksi, kuinka moni ilmoituksen saaneista ranskalaisista osaa yhdistää riskin omiin kryptovaroihinsa.
