El Ministerio de Economía y Finanzas francés reveló una intrusión en los sistemas de la Dirección General de Finanzas Públicas (DGFiP) que permitió acceder a datos de 678.000 particulares y profesionales. Las investigaciones preliminares determinaron que los datos incluían información fiscal e inmobiliaria, mientras que el ministerio afirmó que las cuentas de usuario en línea, los identificadores de acceso y las contraseñas no fueron comprometidos.
Las autoridades descubrieron el incidente después de que una persona que utilizaba el nombre ZeroBytes se atribuyera el ataque y ofreciera a la venta una base de datos robada el 12 de agosto en el foro de piratería PwnForums. Las investigaciones exhaustivas comenzaron desde esa fecha para determinar el alcance del acceso y los datos que fueron consultados o extraídos.
¿Qué datos se vieron afectados?
Según el Ministerio de Finanzas francés, los datos a los que se accedió incluían información como la renta fiscal de referencia, el coeficiente familiar y la tasa de retención fiscal. En el caso de las empresas, los datos incluían el nombre de la empresa y su número SIREN.
El acceso también afectó a datos catastrales vinculados a direcciones y superficies de inmuebles. La Dirección General de Finanzas Públicas notificó el incidente a la autoridad francesa de protección de datos (CNIL) en cuanto fue identificado, mientras la administración tributaria cerró los puntos de acceso a los sistemas de información sensibles y continuó evaluando el impacto con la ayuda de la Agencia Nacional Francesa para la Seguridad de los Sistemas de Información (ANSSI).
Afirmaciones adicionales sobre el registro catastral
ZeroBytes afirmó también que había logrado acceder a la plataforma Serveur Professionnel de Données Cadastrales (SPDC), gestionada por la administración tributaria francesa y que proporciona acceso al registro catastral central y a los registros de propiedad inmobiliaria del país.
El atacante afirmó que la plataforma permitía acceder a datos de unos 20 millones de ciudadanos franceses, pero que, según su declaración, solo pudo extraer 252.149 registros relacionados con los datos de más de dos millones de personas. Estas cifras y afirmaciones adicionales siguen siendo independientes del alcance confirmado oficialmente por el Ministerio de Finanzas, que asciende a 678.000 particulares y profesionales.
¿Qué significa esto para los afectados?
Los datos fiscales e inmobiliarios pueden revelar detalles sensibles sobre la situación financiera y familiar y la propiedad, incluso aunque no se hayan filtrado contraseñas ni datos de acceso. Por ello, el Ministerio de Finanzas afirmó que se pondrá en contacto con todos los afectados a partir de la semana siguiente al anuncio, por correo electrónico o mediante cartas, para informarles de los datos a los que posiblemente se accedió o que fueron robados, así como de las medidas de precaución necesarias.
El incidente se produce en el marco de una serie de intrusiones que han afectado a organismos gubernamentales franceses durante los últimos meses. En enero, la autoridad de protección de datos impuso una multa de 5 millones de euros a la agencia nacional de empleo France Travail tras el robo de información personal de 43 millones de personas. Al mes siguiente, el Ministerio de Finanzas anunció otra intrusión que afectó a más de 1,2 millones de cuentas de usuario, tras el robo de una base de datos de los sistemas del registro nacional de cuentas bancarias FICOBA. Posteriormente, la agencia France Titres también anunció una intrusión relacionada con una base de datos que contenía 19 millones de registros, presuntamente robada a la Agencia Nacional de Documentos Seguros (ANTS).