Data Pajak Negara Dibobol Hacker, 678 Ribu Orang Kena Imbas

PARIS – Sistem administrasi perpajakan Prancis menjadi sasaran serangan siber yang menyebabkan data sekitar 678 ribu wajib pajak terdampak. Otoritas Prancis kini melakukan penyelidikan untuk mengungkap pelaku sekaligus memastikan sejauh mana informasi pribadi yang tersimpan dalam sistem pemerintah telah diakses atau dicuri.

Serangan tersebut menargetkan sistem Direktorat Jenderal Keuangan Publik Prancis (Direction générale des Finances publiques/DGFiP). Kejaksaan Paris melalui Kantor Pemberantasan Kejahatan Siber atau French Anti-Cybercrime Office (Ofac) telah membuka penyelidikan atas dugaan akses ilegal terhadap sistem pemrosesan data otomatis milik negara.

Insiden ini menjadi perhatian serius karena data perpajakan merupakan informasi sensitif yang dapat dimanfaatkan untuk berbagai bentuk kejahatan, termasuk pencurian identitas, penipuan, hingga pemetaan kondisi finansial seseorang.

Serangan Siber Terjadi pada Juni 2026

Otoritas pajak Prancis menyatakan serangan terjadi pada 12 Juni 2026. Peretas diduga berhasil memperoleh akses ke bagian tertentu dari sistem internal DGFiP. Setelah mengetahui adanya aktivitas mencurigakan, otoritas langsung memutus akses terhadap akun-akun yang digunakan dalam insiden tersebut. Namun, investigasi internal kemudian menemukan bahwa serangan tersebut tidak hanya menghasilkan akses ilegal, tetapi juga memungkinkan pelaku mengambil sejumlah data wajib pajak.

DGFiP menyebut serangan tersebut tergolong canggih karena mekanisme pengendalian akses yang ada tidak langsung mendeteksi bahwa intrusi telah menyebabkan pencurian data.

Kondisi tersebut menunjukkan bahwa sistem keamanan siber pemerintah menghadapi tantangan yang semakin kompleks. Serangan modern tidak selalu langsung terlihat seperti pembobolan sistem secara besar-besaran, tetapi dapat berlangsung melalui akses tertentu yang kemudian dimanfaatkan untuk mengambil data secara bertahap.

Sebanyak 678 Ribu Wajib Pajak Terdampak

Jumlah pengguna yang terdampak diperkirakan mencapai sekitar 678.000 orang. Salah satu laporan menyebut angka yang lebih spesifik, yakni 678.438 wajib pajak. Data yang terdampak berkaitan dengan informasi wajib pajak yang berada dalam pengawasan DGFiP.

Otoritas pajak Prancis memastikan bahwa tidak semua informasi dalam sistem berhasil diakses oleh pelaku. Penyelidikan masih dilakukan untuk mengetahui secara pasti data apa saja yang telah diambil dan siapa saja yang terdampak. Pemerintah juga berencana menghubungi individu maupun profesional yang datanya kemungkinan terkena dampak agar mereka dapat mengambil langkah pencegahan.

Data Apa yang Dicuri?

Menurut otoritas pajak Prancis, informasi pribadi yang kemungkinan diakses mencakup beberapa data yang berkaitan dengan kondisi perpajakan seseorang.

Data tersebut antara lain:

Nama wajib pajak.
Informasi family quotient atau faktor yang digunakan dalam perhitungan pajak berdasarkan kondisi keluarga.
Pendapatan pajak referensi.
Tarif pemotongan pajak.
Informasi tertentu yang berkaitan dengan administrasi perpajakan.

Data tersebut tergolong sensitif karena dapat memberikan gambaran mengenai kondisi ekonomi seseorang. Meski demikian, otoritas pajak menegaskan bahwa data yang dicuri tidak dapat digunakan untuk masuk ke akun aman wajib pajak di situs resmi administrasi pajak Prancis, impots.gouv.fr.

Dengan demikian, kebocoran tersebut tidak secara otomatis berarti peretas dapat mengambil alih akun pajak para korban.

Data Perusahaan Juga Ikut Terdampak

Selain data individu, serangan tersebut juga berdampak pada informasi sejumlah perusahaan. Namun, menurut otoritas Prancis, data perusahaan yang terdampak memiliki tingkat sensitivitas yang lebih rendah dibandingkan informasi perpajakan individu. Informasi yang kemungkinan diakses mencakup nomor identifikasi perusahaan serta alamat perusahaan dan perwakilannya.

Meski dianggap memiliki sensitivitas lebih rendah, kebocoran informasi perusahaan tetap dapat dimanfaatkan untuk melakukan penipuan, rekayasa sosial, atau serangan siber lanjutan. Pelaku dapat menggunakan informasi dasar perusahaan untuk membuat komunikasi palsu yang tampak meyakinkan dan menargetkan karyawan atau pejabat perusahaan.

Peretas Diduga Gunakan Akses Internal

Salah satu laporan menyebut pelaku menggunakan nama samaran Zerobytes dan diduga berhasil mendapatkan akses melalui mekanisme VPN pencarian internal. Pelaku kemudian diklaim berhasil mengambil data dari sistem DGFiP. Data yang diperoleh bahkan disebut sempat ditawarkan kepada pihak yang berminat dengan nilai beberapa ribu euro.

Namun, informasi mengenai identitas pelaku dan seluruh metode serangan masih dalam penyelidikan aparat Prancis. Pemerintah belum dapat memastikan seluruh informasi mengenai pelaku maupun pihak yang kemungkinan telah memperoleh data hasil pembobolan.

Pemerintah Prancis Buka Penyelidikan

Kejaksaan Paris telah membuka penyelidikan terkait insiden tersebut. Penyelidikan tidak hanya diarahkan untuk mengetahui siapa pelaku serangan, tetapi juga mendalami dugaan pengambilan data secara ilegal, akses tanpa izin ke sistem pemrosesan data otomatis, serta kemungkinan adanya kelompok kriminal yang terorganisasi.

Jika terbukti melibatkan jaringan kriminal terorganisasi, perkara tersebut dapat berkembang menjadi kasus yang lebih serius karena pelaku diduga tidak sekadar melakukan peretasan secara individual. Penyidik juga perlu menelusuri apakah data yang dicuri telah dijual, disebarkan, atau digunakan untuk melakukan tindak kejahatan lain.

Wajib Pajak Akan Diberi Pemberitahuan

Otoritas pajak Prancis menyatakan individu dan profesional yang terdampak akan dihubungi secara langsung. Pemberitahuan tersebut akan menjelaskan data yang kemungkinan telah diakses atau diambil serta langkah kewaspadaan yang perlu dilakukan oleh korban. Langkah ini penting karena korban kebocoran data tidak selalu langsung mengalami kerugian setelah informasi mereka dicuri.

Data yang dikumpulkan peretas dapat disimpan dan baru digunakan beberapa waktu kemudian untuk menjalankan penipuan atau pencurian identitas. Karena itu, masyarakat yang terdampak perlu mewaspadai komunikasi mencurigakan yang mengatasnamakan otoritas pajak, bank, perusahaan keuangan, maupun lembaga pemerintah.

Risiko Pencurian Identitas

Salah satu risiko terbesar dari kebocoran data pribadi adalah pencurian identitas. Informasi seperti nama, kondisi keluarga, pendapatan, serta data perpajakan dapat digunakan untuk membangun profil seseorang. Jika digabungkan dengan data lain yang diperoleh dari kebocoran berbeda, informasi tersebut dapat menjadi jauh lebih berbahaya.

Pelaku dapat menggunakannya untuk melakukan phishing, penipuan melalui telepon, email palsu, atau pesan yang seolah-olah berasal dari kantor pajak. Misalnya, pelaku dapat mengetahui bahwa seseorang merupakan wajib pajak tertentu dan kemudian mengirimkan pesan yang mengklaim terdapat kekurangan pembayaran pajak. Karena informasi yang digunakan dalam pesan tersebut benar, korban bisa lebih mudah percaya dan menyerahkan informasi tambahan.

Pemegang Kripto Ikut Khawatir

Kebocoran data ini juga menimbulkan kekhawatiran khusus di kalangan pemegang aset kripto di Prancis. Sejumlah pihak khawatir data perpajakan yang bocor dapat membantu pihak tertentu mengidentifikasi individu dengan kepemilikan aset bernilai tinggi. Kekhawatiran tersebut muncul di tengah meningkatnya kasus kejahatan yang menargetkan pemegang aset kripto di Prancis.

Informasi mengenai kondisi finansial seseorang dapat menjadi target bernilai tinggi bagi pelaku kejahatan. Karena itu, kebocoran data perpajakan bukan hanya persoalan privasi digital, tetapi juga dapat memiliki konsekuensi terhadap keamanan fisik korban apabila data tersebut digunakan untuk mengidentifikasi orang dengan kekayaan besar.

Pemerintah Klaim Sistem Akses Sudah Diamankan

Setelah insiden diketahui, DGFiP melakukan sejumlah langkah pengamanan. Akses yang digunakan dalam serangan langsung diblokir dan langkah-langkah keamanan tambahan diterapkan untuk mencegah kejadian serupa kembali terjadi. Namun, kasus ini tetap menjadi evaluasi besar bagi pemerintah Prancis karena sistem pengendalian akses yang ada tidak langsung mendeteksi bahwa intrusi telah menyebabkan pencurian data.

Hal tersebut menunjukkan bahwa keamanan sistem tidak cukup hanya mengandalkan pencegahan akses ilegal. Pemerintah juga harus memiliki kemampuan mendeteksi aktivitas mencurigakan dan mengetahui ketika data dalam jumlah besar mulai dipindahkan atau diekstraksi.

Kebocoran Data Jadi Tantangan Pemerintah Digital

Insiden di Prancis kembali memperlihatkan tantangan yang dihadapi pemerintah ketika semakin banyak layanan publik dipindahkan ke sistem digital. Digitalisasi membuat pelayanan pajak menjadi lebih cepat dan praktis. Namun, pada saat yang sama, pemerintah menyimpan data dalam jumlah sangat besar yang menjadi target menarik bagi kelompok peretas.

Semakin banyak informasi yang terintegrasi dalam satu sistem, semakin besar pula konsekuensi apabila sistem tersebut berhasil ditembus. Karena itu, perlindungan data pemerintah harus mencakup keamanan jaringan, pengendalian akses, enkripsi, pemantauan aktivitas, autentikasi berlapis, serta sistem deteksi insiden yang mampu bekerja secara real time.

Bukan Sekadar Masalah Teknologi

Kasus ini juga menunjukkan bahwa kebocoran data bukan hanya persoalan teknologi. Ketika informasi perpajakan dicuri, dampaknya dapat dirasakan langsung oleh masyarakat. Korban dapat menghadapi risiko penipuan, pencurian identitas, pemerasan, hingga ancaman terhadap keamanan pribadi.

Karena itu, penanganan insiden harus mencakup pemberitahuan kepada korban, bantuan keamanan digital, investigasi terhadap pelaku, serta langkah untuk memastikan data yang telah dicuri tidak digunakan lebih lanjut. Transparansi pemerintah juga menjadi faktor penting agar masyarakat dapat mengetahui risiko yang mereka hadapi dan mengambil langkah perlindungan secara tepat.

Wajib Pajak Diminta Waspada

Masyarakat yang menerima pemberitahuan mengenai kebocoran data perlu meningkatkan kewaspadaan terhadap berbagai komunikasi mencurigakan. Wajib pajak sebaiknya tidak langsung mengeklik tautan yang dikirim melalui email atau pesan singkat dengan alasan pengembalian pajak, pembayaran tunggakan, atau pembaruan data.

Jika menerima pesan yang mengatasnamakan otoritas pajak, pengguna sebaiknya melakukan verifikasi melalui kanal resmi dan tidak memberikan kata sandi, kode autentikasi, maupun informasi keuangan kepada pihak lain. Kebocoran data juga menjadi alasan penting untuk menggunakan kata sandi yang kuat dan unik serta mengaktifkan autentikasi multifaktor pada layanan digital yang mendukungnya.

Investigasi Masih Berlangsung

Hingga perkembangan terbaru, pemerintah Prancis masih melakukan penyelidikan untuk mengetahui secara lengkap bagaimana serangan tersebut terjadi, siapa pelakunya, data apa saja yang berhasil diambil, dan apakah informasi tersebut telah diperjualbelikan atau digunakan untuk tindak kejahatan lainnya.

Yang sudah dipastikan adalah sekitar 678 ribu wajib pajak terdampak, sementara sistem akun aman wajib pajak di situs resmi administrasi pajak disebut tidak ikut terekspos untuk akses langsung. Pemerintah juga akan memberi tahu korban yang terdampak secara individual mengenai jenis data yang kemungkinan telah diakses serta langkah pencegahan yang perlu dilakukan.

Pelajaran dari Kebocoran Data Pajak

Pembobolan sistem pajak Prancis menjadi peringatan bahwa data administrasi negara merupakan salah satu aset digital paling sensitif. Informasi perpajakan tidak hanya berisi identitas seseorang, tetapi juga dapat menggambarkan kondisi ekonomi, pendapatan, status keluarga, dan berbagai aspek kehidupan finansial.

Karena itu, perlindungan data harus menjadi prioritas sejak sistem dirancang hingga setelah layanan berjalan. Kasus kebocoran data pajak yang berdampak pada sekitar 678 ribu orang kini masih dalam penyelidikan. Pemerintah Prancis telah memblokir akses yang digunakan dalam serangan dan memperkuat sistem keamanan, sementara masyarakat yang terdampak akan diberi pemberitahuan langsung. Insiden ini sekaligus menjadi pengingat bahwa data pribadi yang tersimpan di lembaga negara tetap menjadi target bernilai tinggi bagi kelompok peretas.