Contraseñas robadas, ausencia de autenticación fuerte y fallos de vigilancia permitieron acceder a información fiscal de cientos de miles de personas y empresas en Francia.
Lo ocurrido en los sistemas fiscales franceses expone un problema especialmente incómodo para cualquier Administración que custodie información sensible: los atacantes no necesitaron explotar una vulnerabilidad extraordinariamente sofisticada para penetrar en recursos críticos del Estado.
Un informe publicado el 29 de septiembre de 2026 por la Agencia Nacional de Seguridad de los Sistemas de Información de Francia (ANSSI) describe una combinación de credenciales legítimas robadas, falta de autenticación fuerte, insuficiente segmentación de redes y graves carencias de supervisión.
El resultado fue el acceso y la extracción de información correspondiente a un total de 678 000 particulares y profesionales, según la información oficial divulgada por el Ministerio de Economía y Finanzas francés.
La ANSSI admite que las exfiltraciones no fueron detectadas
La investigación de la ANSSI reconstruyó las actividades ilegítimas observadas en los sistemas de la Dirección General de Finanzas Públicas (DGFiP) entre mayo y agosto de 2026.
La conclusión más preocupante afecta directamente a la capacidad del Estado para detectar intrusiones.
Según el organismo francés, ninguna de las dos oleadas de exfiltración de información fue detectada por los sistemas de supervisión de la DGFiP ni por los de la propia ANSSI.
La agencia habla expresamente de «lacunas» en la supervisión de los sistemas de información.
El problema tenía varias dimensiones. La DGFiP no supervisaba uno de los portales utilizados por el atacante para extraer información y tampoco disponía de un mecanismo capaz de correlacionar diferentes señales sospechosas.
La ANSSI, por su parte, explica que sus sondas de detección estaban situadas en los puntos de entrada y salida de la red interministerial francesa y de Internet, pero no tenía acceso a determinados registros de las aplicaciones.
Eso redujo considerablemente la capacidad para identificar el comportamiento anómalo dentro de los sistemas.
Contraseñas legítimas robadas: una de las claves del ataque
Uno de los elementos fundamentales de la intrusión fue el robo de credenciales pertenecientes a trabajadores legítimos de la Administración tributaria francesa.
La ANSSI determinó que los atacantes consiguieron durante aproximadamente tres meses varias decenas de credenciales de conexión pertenecientes a agentes de la DGFiP.
La hipótesis recogida por el organismo apunta al posible uso de infostealers, programas maliciosos especializados en robar contraseñas, cookies, sesiones y otros datos almacenados en dispositivos.
Existe además un elemento especialmente relevante: parte de esas credenciales habría quedado expuesta después de utilizarse desde equipos personales.
El problema se agravó porque determinados portales que permitían alcanzar recursos sensibles no exigían autenticación fuerte.
En otras palabras, disponer del usuario y contraseña correctos podía resultar suficiente para avanzar hacia sistemas de especial sensibilidad.
Sin doble autenticación en accesos sensibles
La ausencia de autenticación multifactor (MFA) aparece así como una de las deficiencias fundamentales documentadas por la investigación.
Este mecanismo añade una segunda comprobación —por ejemplo, un código temporal, una llave física o una aplicación de autenticación— además de la contraseña.
Su importancia es evidente precisamente en situaciones como esta.
Robar una contraseña no debería equivaler automáticamente a obtener acceso a información sensible del Estado.
El informe de la ANSSI recomienda ahora generalizar la autenticación fuerte, mejorar las políticas de contraseñas, proteger los equipos utilizados por los funcionarios y prohibir el uso de dispositivos personales para acceder a determinados recursos profesionales.
El atacante pudo moverse desde otras redes de la Administración
El problema tampoco se limitaba a las contraseñas.
La investigación detectó deficiencias relacionadas con la arquitectura y segmentación de la infraestructura informática estatal.
Algunas aplicaciones sensibles podían alcanzarse desde Internet o desde la Red Interministerial del Estado francés (RIE) sin un aislamiento suficiente.
Esa configuración incrementaba la superficie disponible para un posible atacante.
La ANSSI confirmó incluso que se produjo un desplazamiento hacia recursos de la DGFiP desde sistemas vinculados al Ministerio de Educación Nacional francés.
El episodio demuestra uno de los principales riesgos de las grandes infraestructuras interconectadas: comprometer un punto aparentemente secundario puede abrir un camino hacia servicios considerablemente más sensibles cuando la segmentación resulta insuficiente.
Accesos nocturnos y enormes volúmenes de información sin activar las alarmas
Los detalles conocidos posteriormente permiten comprender la magnitud de las deficiencias de supervisión.
Según la información publicada tras conocerse el informe oficial, se produjeron conexiones nocturnas, consultas reiteradas a bases de datos y transferencias de volúmenes anormalmente elevados de información.
En determinados episodios llegaron a extraerse alrededor de 14 GB de información en cuatro días de junio y julio.
También se registraron conexiones procedentes de direcciones IP consideradas sospechosas, incluidas algunas localizadas en India o catalogadas previamente como maliciosas.
Pese a esa acumulación de indicadores, las operaciones no provocaron una alerta capaz de detener la extracción de información.
Es precisamente esta combinación la que convierte el incidente francés en un caso de estudio relevante para otras administraciones europeas.
Datos fiscales de 678 000 particulares y profesionales afectados
El Ministerio de Economía y Finanzas francés confirmó inicialmente que los accesos ilegítimos tuvieron lugar durante junio y julio de 2026 mediante la utilización fraudulenta de identificadores correspondientes a un agente de la DGFiP y a un tercero autorizado.
Investigaciones posteriores ampliaron la cronología hasta agosto.
Las autoridades determinaron que las intrusiones permitieron consultar y extraer información correspondiente a 678 000 particulares y profesionales.
Entre los datos potencialmente expuestos figuraban:
- Identificador fiscal.
- Datos de identidad y contacto.
- Dirección postal, teléfono y correo electrónico.
- Situación familiar y fiscal.
- Número de personas dependientes y participaciones fiscales.
- Renta fiscal de referencia.
- Tipo de retención fiscal.
- Información sobre las comunicaciones intercambiadas con la Administración.
- En empresas, datos como la razón social y el número SIREN.
- Determinados datos catastrales, incluidas direcciones y superficies de inmuebles.
La naturaleza de estos datos aumenta el riesgo de posteriores campañas de phishing, suplantación de identidad e ingeniería social, porque permite elaborar mensajes fraudulentos mucho más convincentes.
Las contraseñas de los contribuyentes no fueron robadas
Existe, no obstante, una precisión importante.
Las autoridades francesas sostienen que los espacios personales de los contribuyentes y profesionales en impots.gouv.fr no fueron comprometidos directamente.
Tampoco existen indicios, según la información oficial publicada, de que fueran robados los usuarios y contraseñas de los ciudadanos para acceder a sus cuentas fiscales.
La vulneración afectó fundamentalmente a sistemas internos y accesos autorizados utilizados fraudulentamente.
La propia DGFiP decidió, pese a ello, reinicializar el 20 de agosto la doble autenticación que permanecía válida durante seis meses en un mismo navegador para los usuarios particulares.
Una segunda vía afectó a información catastral
La investigación oficial distingue dos perímetros diferentes de exfiltración.
El primero estaba relacionado con impots.gouv.fr y herramientas utilizadas por la Administración fiscal.
El segundo afectó a información catastral almacenada por la DGFiP.
Según las investigaciones conocidas, los atacantes también aprovecharon credenciales pertenecientes a terceros autorizados para consultar determinados recursos.
Esto pone de manifiesto otro problema habitual de la seguridad informática institucional: la cadena de protección no termina dentro del organismo público.
Proveedores, colaboradores, profesionales autorizados y otras administraciones pueden convertirse en vías indirectas de entrada cuando disponen de acceso a sistemas sensibles.
Francia ya había sufrido otro grave incidente fiscal en 2026
El episodio resulta todavía más significativo porque no fue el primer problema de ciberseguridad relacionado con infraestructura fiscal francesa durante 2026.
En febrero, las autoridades comunicaron una vulneración relacionada con FICOBA, el registro nacional francés de cuentas bancarias.
En aquella ocasión, el incidente afectó a información asociada a aproximadamente 1,2 millones de cuentas bancarias.
Los atacantes también habían utilizado credenciales robadas de un funcionario con acceso a una plataforma interministerial.
El paralelismo entre ambos incidentes plantea una cuestión importante para las administraciones europeas: proteger grandes bases de datos resulta insuficiente cuando las identidades digitales que permiten acceder a ellas pueden convertirse en el eslabón más débil.
La CNIL abrió actuaciones tras conocer la filtración
La Comisión Nacional de Informática y Libertades (CNIL), autoridad francesa de protección de datos, confirmó el 18 de agosto que había recibido las correspondientes notificaciones por las vulneraciones sufridas por la DGFiP.
El organismo señaló que estaba realizando comprobaciones y recordó que entre la información comprometida figuraban datos fiscales y catastrales.
La Administración francesa también anunció que informaría individualmente a los ciudadanos y profesionales afectados mediante correo electrónico o correo postal.
La DGFiP comunicó además su intención de presentar una denuncia.
Un joven de 18 años, investigado por el ataque
La investigación judicial ha avanzado paralelamente al análisis técnico.
Según informaciones publicadas por medios franceses, un joven de 18 años, conocido en Internet con el alias «ChatNoir», fue puesto formalmente bajo investigación judicial el 20 de agosto.
La Fiscalía de París lo investiga, entre otros extremos, por presuntos delitos relacionados con el acceso fraudulento a sistemas automatizados de tratamiento de datos y la extracción ilícita de información gestionada por el Estado.
La existencia de sospechosos concretos no modifica, sin embargo, la principal conclusión técnica del incidente.
Una organización puede enfrentarse a atacantes relativamente jóvenes o a grupos criminales altamente profesionalizados; si las credenciales robadas permiten entrar sin una segunda autenticación y las actividades anómalas no generan alertas, el riesgo permanece.
El informe obliga a Francia a reforzar la seguridad
Tras las investigaciones, la ANSSI y la DGFiP elaboraron un plan de actuación destinado a corregir las deficiencias explotadas durante los ataques.
Entre las principales recomendaciones figuran restringir el acceso a aplicaciones sensibles, mejorar su supervisión, extender la autenticación multifactor, reforzar los equipos profesionales, impedir determinados accesos desde dispositivos personales y mejorar la coordinación entre ministerios.
También será necesario aumentar la capacidad de correlacionar eventos aparentemente aislados.
Una contraseña comprometida, una conexión desde una dirección IP extraña o una consulta realizada de madrugada pueden no resultar concluyentes individualmente. Cuando aparecen simultáneamente, deberían elevar inmediatamente el nivel de alerta.
Una advertencia para todas las administraciones europeas
El caso francés trasciende las fronteras del país.
Las administraciones públicas europeas concentran enormes cantidades de información sobre rentas, propiedades, empresas, impuestos, domicilios e identidad de millones de ciudadanos.
Esa concentración convierte los sistemas públicos en objetivos especialmente valiosos para ciberdelincuentes.
La digitalización permite ofrecer servicios más rápidos y conectar organismos distintos, pero cada nueva interconexión también puede aumentar la superficie de ataque si no existe una segmentación adecuada.
El incidente de la DGFiP francesa deja así una enseñanza difícil de ignorar: la ciberseguridad pública depende tanto de las grandes inversiones tecnológicas como de medidas básicas correctamente aplicadas.
Autenticación multifactor, dispositivos profesionales controlados, segmentación de redes y supervisión permanente no son complementos opcionales cuando están en juego datos fiscales de millones de ciudadanos.
Y el dato más comprometedor permanece en el propio informe oficial: dos oleadas de extracción de información consiguieron atravesar los mecanismos de vigilancia sin ser detectadas.
El robo de datos fiscales en Francia se convierte así en una seria advertencia sobre la seguridad de las infraestructuras digitales que sostienen al Estado europeo.
Toqueteo
Toqueteo
Toqueteo