一个出生日期、一个社保号码、一个IBAN、一个地址、一个法国就业署（France Travail）标识符。孤立地看，每一个碎片都显得无关紧要。然而一旦相互关联，与法国就业署、税务总局（DGFiP）、Viamedis、Free或ANTS的数据泄露交叉比对，它们便成为伪造工业的原材料。如今，拥有足够多数据集的恶意行为者可以重建一个完整、连贯、表面可信的身份。足以开通信贷、劫持行政账户，或培育一个为定向社会工程行动量身定制的合成档案。
威胁已变得统计化、工业化、累积化，每一次新的泄露都在充实一个本已庞大的数据图谱，交叉比对三个被攻破的数据源就足以对数百万公民进行画像、锁定和操纵，用于大规模影响力行动或欺诈策略。这已不再关乎某个人的隐私暴露。这是一整套国家数字身份识别系统的公信力在崩塌，一次泄露接一次泄露，一次处罚接一次处罚，一份危机声明接一份危机声明。
一段本不该再令任何人惊讶的编年史
必须用数字的冷酷来说出这一点，因为仅凭愤怒已远远不够。2024年，法国国家信息与自由委员会（CNIL）记录了5,629起数据泄露通报，同比增长20%。2025年，计数器再次爆炸：6,167起通报的违规事件，增长9.5%，过去两个财年中有近80起事件影响超过一百万法国人，大规模攻击数量在一年内翻了一番。2025年上半年，法国成为受影响最严重的欧洲国家、仅次于美国的世界第二，1月至6月间有180万个账户被攻破。
公共灾难的清单令人瞠目结舌。法国就业署于2024年3月泄露了多达4,300万求职者的数据，CNIL最终认定3,680万份档案被攻破，2026年1月因信息系统存在缺陷被处以500万欧元罚款，而同一运营商早在2023年就已遭到攻击。健康第三方支付运营商Viamedis和Almerys在2024年1月至2月泄露了超过3,300万参保人的数据：民事身份、社保号码、合同保障。Free和Free Mobile在2024年10月泄露了近1,900万至2,400万用户的合同，其中包括511万个IBAN，2026年1月该运营商被处以创纪录的4,200万欧元罚款。国家安全证件局（ANTS），一个名副其实的主权门户，在2025年4月有近1,200万个账户受到影响。2025年底，地方使命机构跟踪的1,600万青年以及通过Cegedim泄露的1,500万份医疗档案又加入了这一堆。自2023年以来，仅公共服务、医疗、电信和商业领域就有超过1.45亿条记录被泄露，相当于每位法国居民遭受多次违规。就连国家统计局（INSEE）这一国家统计的守护者，也有12,800名员工的数据被曝光。甚至国家自然历史博物馆也在2025年因网络攻击而瘫痪。根据法国国家信息系统安全局（ANSSI）的数据，仅各部委和地方行政机构就占了2025年处理的安全事件的24%，教育部门和医疗部门紧随其后。
这份本已沉重的清单还需要一个补充：法国税务总局（DGFiP）于2026年8月承认其信息系统遭受了一次新的数据泄露。CNIL指出，有第三方得以查阅并提取涉及个人和专业人士的信息，其中包括税务数据（参考税务收入、家庭系数、源头扣缴税率）以及地籍数据（不动产地址和面积）。对于企业，还涉及SIREN编号和公司名称。
公共评估随后变得更为清晰。据世界报报道，此次泄露最多涉及433,485名个人和1,082名专业人士，政府将其表述为三起相互独立的违规事件，总计约678,000名用户受影响。
被刻意忽视的技术债务
这里没有运气不佳可言。这是长期积累、有据可查、人所共知却从未清偿的技术债务的机械结果。应用安全厂商的报告毫不留情：在法国公共行政部门中，厂商多年前就已发现、有时甚至已修复的漏洞，至今仍滞留在地方行政机构、部委和机关的服务器上，补丁延迟可达五年、七年、十年之久。这里谈的不是不可避免的技术过时，而是反复做出的预算和政治选择：牺牲信息系统的安全，换取展示型数字服务的快速上线。
CNIL自己也指出，2024年通报的违规事件中55%直接源于黑客攻击，一年内增长21%，绝大多数源于基础设施的安全缺陷：凭证被攻破、缺乏网络分段、第三方供应商审计不力。
这正是技术债务未得到处理、security by design从未实施、补丁从未列入预算、审计从未得到跟进的确切症状。
DGFiP事件让这一概念有了直接的现实注脚。贝尔西（Bercy）确认，入侵早在6月就已被察觉，但当时未作公开通报，而泄露可能并未在第一时间被发现。这一序列助长了对公共技术债务的经典批评：检测迟缓、对受入侵范围的可见性有限、无法立即定性被窃取的数据。
被系统化的部委无能
面对这场失血，国家本应以稳定的方针、持续的统筹和明确的政治权威来应对。它给出的恰恰相反：一场所属部门主管的华尔兹，宛如一个二流部委。自2017年以来，穆尼尔·马哈朱比、塞德里克·奥、让-诺埃尔·巴罗、玛丽娜·费拉里、克拉拉·沙帕兹相继上任，随后是2025年10月的纳伊马·穆图舒，其任期不足二十四小时，第五共和国最昙花一现的数字部长，之后安妮·勒埃南夫接过了该职位。
八年七任主管，没有方针上的连续性，这一职位不时从正式部委降格为一个淹没在庞大经济部中的普通国务秘书处，尽管八十位数字领域人士联署发表声明，要求设立一个拥有资源和部长会议发言权的真正部委。当国家机器的顶层每十二到十八个月就换一张面孔、有时甚至在几小时内更换时，又如何能要求制定长期的网络安全战略、在技术债务修复上做出果敢的预算仲裁、推行连贯的数字主权方针？
从孤立泄露到信任崩塌
真正的转折是质变。当CNIL观察到影响超过一百万人的违规事件数量在一年内翻了一番、从二十余起增至四十余起时，这是威胁规模的改变。由真实碎片构建的合成身份，真实的民事身份、真实的社保号码、真实的行政记录，远比拙劣的欺诈难以察觉。它使系统性冒名顶替成为可能，使针对脆弱群体的定向锁定成为可能，使基于可核实公共数据的可信影响力运动成为可能。每一次新增的泄露不仅增加了受害者。它充实了一个累积的、永久的攻击资源库，可被任何行为者，无论是国家还是罪犯，利用。
而DGFiP事件使这幅图景更加黯淡，因为它触及了国家的财政和地籍核心。即使在现阶段，据CNIL称尚无身份凭证和密码被攻破，但资产数据、税务数据与身份信息的结合，为高可信度的定向欺诈、鱼叉式钓鱼和行政冒名顶替提供了素材。
向CNIL通报：国家也不能凌驾于法律之上
个人数据泄露的通报义务并不止步于行政部门的门槛。CNIL提醒，GDPR第33条要求任何数据控制者在发生对个人权利和自由构成风险的泄露时，及时通报，并尽可能在72小时内完成。当风险较高时，第34条还要求告知相关当事人。
这一规则同样适用于国家以及处理个人数据的公共机构。法国《信息与自由法》明确重申了依照GDPR第33条和第34条向CNIL通报并与当事人沟通的要求。
不过，就DGFiP事件而言，经核实的来源要求严谨的表述。在现阶段，声称法国政府在此案中规避了向CNIL的通报义务并不准确，因为CNIL白纸黑字地写明已收到关于DGFiP信息系统受侵的通报，并明确指出该部将逐一通知相关当事人。