Brecha en la DGFiP francesa: los datos fiscales de más de 600.000 personas podrían estar en manos de un hacker

Acceso no autorizado a finales de junio

El Ministerio de Economía francés confirmó una vulneración de los sistemas informáticos de la Direction Générale des Finances Publiques (DGFiP), la administración responsable de la gestión fiscal del país.

El acceso no autorizado se habría producido a finales de junio, tras el robo o uso indebido de la identidad digital de otra persona. La intrusión fue detectada y bloqueada durante ese mismo periodo. Posteriormente, la DGFiP aplicó restricciones adicionales para impedir nuevos accesos ilícitos.

El caso salió a la luz a comienzos de semana, cuando un hacker reivindicó la operación. El Ministerio de Economía confirmó formalmente el incidente en un comunicado difundido el jueves por la noche.

El ataque habría permitido consultar y extraer información relativa tanto a particulares como a empresas. Sin embargo, todavía no se sabe cuántas personas están realmente afectadas, qué datos fueron visualizados ni cuáles fueron copiados de los sistemas de la administración.

La reivindicación de ZeroBytes y los datos potencialmente expuestos

Según FrenchBreaches, el ataque fue reivindicado por un hacker que utiliza el alias ZeroBytes. El actor afirma haber obtenido información relativa a más de 600.000 personas.

Entre los datos mencionados en la reivindicación figuran:

• nombres;
• otra información personal;
• identificadores fiscales;
• direcciones de correo electrónico;
• situación familiar;
• datos relativos al estado fiscal.

La reivindicación no ha sido verificada de forma independiente. La autenticidad y la integridad de los datos supuestamente robados también están pendientes de confirmación.

FrenchBreaches informa asimismo de que el atacante habría comprometido servidores internos, obtenido la capacidad de conectarse a la VPN de la DGFiP y utilizado una herramienta interna para buscar información sobre personas y empresas. Según esta reconstrucción, la exfiltración habría continuado antes de que se revocara el acceso.

La DGFiP no ha atribuido públicamente la operación a un grupo concreto ni ha confirmado las afirmaciones de ZeroBytes. Tampoco se han hecho públicas las versiones de los sistemas afectados, el punto de entrada técnico exacto o el nombre de la herramienta interna que podría haberse utilizado.

Qué queda por aclarar

La investigación deberá determinar si el atacante solo consultó los datos o si también los exportó de forma masiva. La diferencia es relevante: la simple exposición de información personal puede generar riesgos, pero una base de datos copiada y reutilizable aumenta la posibilidad de campañas dirigidas.

Los datos fiscales tienen un valor especial para quienes llevan a cabo fraudes y operaciones de ingeniería social. Un identificador fiscal asociado a un nombre, una dirección de correo electrónico y datos familiares puede hacer más creíbles los mensajes fraudulentos que suplanten a la administración, bancos o asesores.

Por ahora no se ha publicado una clasificación formal de la gravedad del incidente. La cifra de más de 600.000 personas procede de una afirmación del atacante y no de un recuento confirmado por las autoridades.

La DGFiP ha comunicado que contactará individualmente con las personas afectadas. Las notificaciones deberían indicar qué categorías de datos podrían haberse visto implicadas y qué precauciones adoptar. La administración también ha anunciado que informará a la autoridad francesa de protección de datos y presentará una denuncia penal.

Qué pueden hacer las personas potencialmente afectadas

Quienes reciban una comunicación de la DGFiP deberían verificar cuidadosamente su autenticidad, sin utilizar enlaces ni números de teléfono incluidos en mensajes sospechosos. La información fiscal expuesta puede utilizarse para crear correos electrónicos muy personalizados, no solo para enviar spam genérico.

Es recomendable:

• desconfiar de solicitudes urgentes de pagos o documentos fiscales;
• no comunicar contraseñas, códigos temporales ni datos bancarios por correo electrónico o teléfono;
• acceder a los servicios públicos escribiendo manualmente la dirección oficial;
• revisar con especial atención los avisos relacionados con impuestos, reembolsos y trámites administrativos;
• cambiar las contraseñas reutilizadas en varios servicios;
• activar la autenticación multifactor cuando esté disponible;
• conservar las comunicaciones recibidas de la DGFiP para compararlas con posibles contactos posteriores.

No se sabe si se expusieron datos de autenticación o credenciales de los usuarios. Por ello, con la información disponible, no es posible determinar si todos los destinatarios deben cambiar sus contraseñas o adoptar medidas específicas. Las indicaciones individuales de la administración serán decisivas.

Las empresas deberían informar al personal encargado de gestionar trámites fiscales y pagos. Un atacante que disponga de datos reales puede intentar modificar datos bancarios, falsificar solicitudes de reembolso o suplantar a un interlocutor conocido.

Un nuevo incidente en la serie de ataques contra organismos públicos franceses

La vulneración de la DGFiP se suma a una serie de incidentes que este año han afectado a organismos públicos franceses.

En abril, unos atacantes pusieron en el punto de mira el sitio web de la Agence Nationale des Titres Sécurisés (ANTS), el organismo que gestiona trámites relacionados con pasaportes, documentos de identidad, permisos de residencia y permisos de conducir. Ese mismo mes, el Ministerio de Educación comunicó un ataque contra un sistema dedicado a gestionar las cuentas de los estudiantes, con exposición de información personal.

En febrero, una brecha afectó a una parte del National Bank Accounts File, la base de datos de las cuentas bancarias abiertas en Francia. El incidente afectó a información vinculada a aproximadamente 1,2 millones de cuentas, dentro de un archivo que contiene más de 300 millones de registros.

Además, a comienzos de año la policía detuvo a un hombre de 20 años sospechoso de haber perpetrado decenas de ataques contra organismos gubernamentales, federaciones deportivas y empresas privadas. No se ha establecido públicamente ninguna relación entre esa detención y la vulneración de la DGFiP.

El caso actual vuelve a poner de manifiesto el riesgo asociado a las cuentas privilegiadas y a las identidades digitales comprometidas. Incluso sin una vulnerabilidad de software conocida públicamente, el robo o el uso indebido de una identidad puede abrir el acceso a sistemas internos, VPN y herramientas de búsqueda que contienen información altamente sensible.