V noci z 21. na 22. ledna se daňový asistent Waltio stal obětí úniku dat, na který rychle navázal pokus o vydírání připisovaný hackerské skupině „Shiny Hunters“. Podle prvních informací by mohlo být postiženo téměř 50 000 uživatelů, zatímco francouzské úřady zahájily vyšetřování. Do jaké míry je centralizace citlivých údajů ospravedlnitelná, když se stává oblíbeným nástrojem kyberzločinců?
„Shiny Hunters“ za vydíráním souvisejícím s únikem dat Waltio
V noci z 21. na 22. ledna daňový asistent Waltio oznámil, že byl informován o úniku dat. Francouzské úřady se případem zabývají a vyšetřují povahu odcizených dat a identifikují oběti.
Z tiskové zprávy zveřejněné Pierrem Morizotem, generálním ředitelem Waltio, se dozvídáme, že platforma byla napadena zlovolným aktérem, který poskytl vzorek umožňující ověřit pravost svého únosu.
Podle zprávy deníku Le Parisien stojí za tímto útokem známá hackerská skupina „Shiny Hunters“. Ta tvrdí, že má v držení osobní údaje téměř 50 000 zákazníků (1/3 uživatelů), z nichž většina se nachází v kontinentální Francii.
Zdá se, že útočník kontaktoval společnost Waltio a požaduje výkupné. Po obdržení této zprávy byly zahájeny postupy pro řešení incidentů. Společnost vysvětluje, že najala externí odborníky, aby „analyzovali situaci s nejvyšší možnou pečlivostí“.
V tiskové zprávě sekce pro boj proti kyberkriminalitě (J3) pařížské prokuratury skutečně oznámila, že vyšetřování svěřila Národní kybernetické jednotce Národní gendarmerie (UNCyber).
Podle Waltia první výsledky vyšetřování ukazují, že narušení již není aktivní a všechny služby platformy fungují normálně.
Pokud jde o dotčené údaje, jejich rozsah je podle tiskové zprávy omezen na „vyhotovení daňových přiznání za rok 2024, uzavřených k 31. 12. 2024“. Je tak možné zjistit e-mailovou adresu uživatele a údaje z přiznání (zisky, ztráty, zůstatky).
Daňový asistent Waltio ze své podstaty agreguje data z vašich účtů na burzovních platformách, aby je analyzoval a následně vypočítal výši vašich zdanitelných kapitálových zisků.
Pierre Morizot však pro uklidnění uživatelů upřesňuje, že „žádná data umožňující přístup k vašim kryptoměnám nebyla ohrožena“. Dále připomíná, že platforma nevyžaduje žádné informace týkající se vaší identity (jméno, příjmení, poštovní adresa, telefonní číslo, datum narození).
Společnost vysvětluje, že pokračuje ve vyšetřování a provádí kompletní revizi historie svého informačního systému (IS). Potenciálně dotčeným uživatelům bude zaslána přímá komunikace spolu s „jasnými a praktickými“ doporučeními.
Waltio dále oznamuje, že se zavázala a pokračuje v oznamování incidentu CNIL a že podala stížnost prostřednictvím svého právního zástupce Romaina Chillyho u sekce J3 pařížského státního zastupitelství.
Hlavní riziko: útoky pomocí sociálního inženýrství
Jak je uvedeno v tiskové zprávě, hlavním rizikem tohoto druhu úniků není technická krádež finančních prostředků. Útočníci budou raději využívat kontextové prvky k cílení na oběti pomocí phishingu nebo pokusů o podvody.
Budou využívat několik kognitivních zkreslení, aby vás dostali do stresové situace a přiměli vás k chybě:
- vyzývání k rychlé reakci;
- hrozba finanční ztráty;
- zneužití legitimní osoby;
- strach z negativních důsledků;
- sociální tlak…
Je proto obzvláště důležité jasně identifikovat svého partnera. Autentičnost e-mailu od společnosti Waltio můžete ověřit pomocí bezpečnostního kódu, který se nachází v dolní části zaslaných marketingových e-mailů. Ověřte shodu s údaji ve svém účtu, doporučuje Waltio.
Je také třeba si uvědomit, že společnost nemá vaše telefonní číslo ani poštovní adresu, takže od ní nebudete dostávat žádné hovory, SMS ani poštu.
Tato událost přispívá k posílení atmosféry strachu mezi držiteli kryptoměn na francouzském území. V poslední době se případy únosů, zadržování a výhrůžek neustále objevují na titulních stránkách novin.
Centralizace citlivých informací vytváří jedinečnou databázi a představuje významný bod zranitelnosti. Obzvláště dlouhý seznam úniků dat (včetně řady veřejných orgánů) zaznamenaných webem bonjourlafuite za rok 2025 vyvolává otázky ohledně legitimity přístupu některých služeb k tomuto typu dat.
Jak vysvětluje Adan, tento sběr údajů často vychází z regulačních požadavků; je třeba přehodnotit podstatný rozměr zpracování těchto údajů, aby nevznikaly nové slabiny.
Adan s velkým znepokojením sleduje nárůst závažných násilných činů namířených proti investorům a aktérům v oblasti kryptoměn ve Francii od začátku roku 2026. Tyto skutečnosti vyžadují reakci veřejných orgánů, která bude odpovídat…
— Adan (@adan_asso) 23. ledna 2026
Bez ohledu na ochranu přidělenou informačnímu systému bude tento systém vždy zranitelný. Jediným řešením, jak snížit plochu útoku, se tedy jeví minimalizace dat: nulová data, nulový únik.
