La autoridad tributaria francesa ha confirmado que información perteneciente a cientos de miles de contribuyentes y profesionales fue robada después de que atacantes obtuvieran acceso no autorizado a sus sistemas. La Direction Générale des Finances Publiques (DGFiP) continúa investigando la intrusión después de que un hacker reivindicara públicamente la responsabilidad y publicitara una colección mucho mayor de registros fiscales franceses.
El incidente cobró mayor atención después de que un atacante que usaba el nombre “ZeroBytes” anunciara lo que se describió como una base de datos que contenía información sobre más de dos millones de contribuyentes franceses. El hacker afirmó que la intrusión ocurrió durante junio y julio y afirmó que se utilizaron credenciales robadas y un método para eludir la autenticación multifactor para acceder a los sistemas DGFiP. El atacante además afirmó que el acceso continuado, pero DGFiP afirma que las cuentas asociadas a las intrusiones identificadas fueron suspendidas cuando se descubrió la actividad no autorizada.
La investigación de DGFiP ha establecido que se tomaron datos durante los ataques, aunque el robo no fue detectado inicialmente. Según la autoridad, las intrusiones implicaron comprometidas credenciales de acceso asociadas a un empleado de DGFiP y a un tercero autorizado. Cuando se identificó por primera vez el acceso no autorizado, los funcionarios desactivaron las cuentas afectadas, pero las comprobaciones de seguridad en ese momento no revelaron que la información ya había sido eliminada.
El número confirmado de personas y profesionales afectados es actualmente de aproximadamente 678.000. Esto es considerablemente inferior a la cifra promovida por el presunto atacante, y la investigación en curso no ha verificado la afirmación de que se obtuvieron más de dos millones de registros fiscales. Los medios franceses indican que la información expuesta incluye tanto detalles personales como fiscales.
Entre la información fiscal comprometida se encuentran los ingresos fiscales de referencia, el coeficiente familiar y los tipos de retención en la retención. Los registros relacionados con el negocio incluyen nombres de empresas y números de identificación SIREN, mientras que también se accedió a información catastral sobre direcciones y tamaños de propiedades. DGFiP ha señalado que las credenciales de cuentas en línea de los contribuyentes, incluidos sus identificados y contraseñas, no fueron comprometidas en este incidente.
Tras obtener información adicional sobre la brecha, DGFiP introdujo medidas de seguridad adicionales. Estas incluían restricciones preventivas al acceso a sistemas de información sensible mientras las autoridades seguían determinando exactamente qué habían llegado los atacantes y cuánta información había sido eliminada.
Se espera que las personas y profesionales identificados como afectados reciban notificaciones directas de la autoridad tributaria explicando qué categorías de su información podrían haber sido expuestas y qué precauciones deberían considerar. La escala final del incidente sigue bajo investigación, lo que significa que la cifra actualmente confirmada podría cambiar a medida que continúe el trabajo forense.
La brecha sigue a otro incidente de seguridad relacionado con DGFiP a principios de 2026. A partir de finales de enero, un atacante que había obtenido las credenciales de un empleado gubernamental obtuvo acceso no autorizado a parte de FICOBA, la base de datos nacional de cuentas bancarias de Francia. DGFiP indicó que ese incidente involucró aproximadamente 1,2 millones de cuentas, lo que representa menos del 1% de los datos bancarios contenidos en la base de datos.
El compromiso anterior de FICOBA expuso información bancaria, incluidos detalles de RIB e IBAN, pero DGFiP ha afirmado que actualmente no existe una conexión establecida entre ese ataque y el último robo de información de los contribuyentes.
Por tanto, el alcance preciso de la nueva brecha sigue sin resolver. DGFiP ha confirmado acceso y robo no autorizados que involucran a aproximadamente 678.000 personas y profesionales, mientras que el presunto atacante afirma poseer un conjunto de datos considerablemente mayor. Los investigadores aún están trabajando para establecer el volumen y la naturaleza exacta de la información robada.