Hackere snur motstanden mot Chat Control til en doxing-kampanje

I dagene etter EUs siste avstemning om Chat Control har en bølge av nettkriminell aktivitet rammet franske folkevalgte, offentlige etater og institusjoner. Flere trusselaktører påtar seg nå ansvaret for en koordinert serie operasjoner som kombinerer doxing, gjenpublisering av gamle lekkede arkiver og ny distribusjon av personopplysninger tilhørende offentlige personer. Sikkerhetsforskere som følger kampanjen beskriver den som gjengjeldelse, eksplisitt formulert av angriperne selv som et svar på at Chat Control-lovgivningen går fremover i Brussel.

Dette er ikke et enkelt innbrudd med en ryddig tidslinje. Det er en spredt, opportunistisk bølge av aktivitet der ulike aktører gjenbruker gamle data, syr sammen nye lekkasjer og utnytter det politiske øyeblikket for å maksimere synlighet. Denne blandingen av gammelt og nytt materiale gjør det vanskeligere for ofre og institusjoner å vite nøyaktig hva som har blitt eksponert og når.

Hvorfor Chat Control-avstemningen ble et flammepunkt

Chat Control har vært et av de mest omstridte forslagene i EUs teknologipolitikk i nyere tid. Forslaget, som ville kreftet skanning av privat digital kommunikasjon for å oppdage materiale om seksuelt misbruk av barn, har møtt vedvarende motstand fra personvernforkjempere, krypteringseksperter og i økende grad deler av det nettkriminelle undergrunnsmiljøet selv. Grupper har tidligere brukt trusler om forstyrrende angrep som press mot EU-lovgivere som vurderer tiltaket, en taktikk dokumentert da LunarisSec truet EU på grunn av Chat Control-krypteringsplanen. Den nåværende gjengjeldelseskampanjen mot franske tjenestemenn ser ut til å følge en lignende logikk: å gjøre politisk motstand mot en overvåkningslov til direkte, personlige konsekvenser for personene som anses ansvarlige for å fremme den.

Lovgivningens frem og tilbake har gitt angriperne mange anledninger til å slå til. Chat Control har dukket opp igjen gjentatte ganger i ulike former, inkludert en versjon Europaparlamentet godkjente for gjeninnføring, som dekket i rapporteringen om hvordan EU reaktiverte Chat Control 8. juli 2026. Hvert prosedyreskritt, enten det er en avstemning i parlamentet eller et trekk fra Rådet, har blitt en utløsende faktor som holder saken, og sinnet rundt den, i søkelyset.

Ironien i at en personvernlov fremkaller et personvernbrudd

Det ligger en bitter ironi i kjernen av denne historien. Chat Control ble presentert som et barnevernstiltak, men kritikerne har lenge hevdet at det ville svekke kryptering og utsette vanlige brukeres private kommunikasjon for bredere skanning og potensiell misbruk. Nå produserer motstanden mot loven selv en personvernkatastrofe: tjenestemenns personopplysninger, etatsopptegnelser og arkiverte lekkasjer blir gjenpublisert og forsterket nettopp fordi disse tjenestemennene er knyttet til lovgivningen.

Denne dynamikken er ikke helt ny. EUs egen tilnærming til Chat Control, som angivelig omgikk den normale parlamentsprosessen for krypteringsbestemmelser, vakte allerede bekymring for hvordan loven ble formet uten full offentlig innsyn, som detaljert i dekningen av hvordan EU-rådet omgikk Parlamentet om kryptering. Når lovgivning forhandles bak lukkede dører og deretter presses gjennom midt i folkelig motstand, skapes akkurat den typen fiendtlig miljø der gjengjeldelseskampanjer som denne kan få fotfeste. Menneskene som havner i midten, både tjenestemennene som blir doxet og borgerne hvis data ligger i de samme lekkede databasene, ender opp med å bære kostnadene for en politisk kamp de kanskje hadde liten direkte innflytelse over.

Hva dette betyr for deg

Hvis du ikke er en fransk tjenestemann eller embetsmann, er det fristende å tro at denne kampanjen ikke berører deg. Men disse operasjonene feier ofte med seg langt mer enn de tiltenkte målene. Gjenpubliserte arkiver og datadumper fra etater inneholder ofte informasjon om vanlige ansatte, kontraktører og borgere hvis opptegnelser tilfeldigvis var lagret sammen med de primære målene. Hvis du samhandler med franske offentlige tjenester, jobber i offentlig sektor eller har fått dataene dine inkludert i tidligere brudd knyttet til franske institusjoner, er det verdt å anta at noe av den informasjonen kan dukke opp igjen i denne siste runden med lekkasjer.

I et bredere perspektiv er denne episoden en påminnelse om at Chat Control-debatten ikke er rent teoretisk. Enten loven selv noen gang skanner meldingene dine eller ei, skaper den politiske kampen rundt den allerede reell dataeksponering, og den eksponeringen kan ramme alle hvis informasjon ligger i en målrettet database. Å forstå den underliggende juridiske mekanismen, inkludert hvordan tidligere versjoner av reglene samspilte med eksisterende unntak som det beskrevet i dekningen av Chat Control 1.0 og ePrivacy-unntaket gjeldende siden 2021, kan hjelpe deg med å følge med på hvor politikken faktisk er på vei og hvorfor den fortsetter å skape kontrovers.

Praktiske steg verdt å ta

Følg med på varsler fra franske offentlige etater eller tjenester du bruker, siden berørte institusjoner etter hvert kan bekrefte hvilke data som ble eksponert. Vurder å sjekke om e-postadressen eller personopplysningene dine dukker opp i kjente brudddatabaser, spesielt hvis du har hatt noe med fransk offentlig forvaltning å gjøre. Vær skeptisk til uønskede meldinger som refererer til denne lekkasjen, siden angripere ofte utnytter oppmerksomheten rundt et brudd til å kjøre oppfølgende phishing-kampanjer. Og hvis du jobber i en rolle knyttet til EUs teknologipolitikk eller digitalt rettighetsarbeid, behandle dine egne personlige opplysninger med ekstra forsiktighet mens denne gjengjeldelseskampanjen fortsatt pågår. Chat Control-kampen er langt fra over, og som denne hendelsen viser, strekker konsekvensene seg allerede langt utover forhandlingsbordet i Brussel.