Hackeo en Francia de casi 700.000 datos fiscales que se han puesto a la venta: “Es una crisis monumental”
Seudónimo: “ZeroBytes”. Motivación: “El dinero y la búsqueda del poder”. Dos piratas informáticos que se identifican como franceses revelaron, el miércoles 12 de agosto, que en el mes de junio se habían hecho con cientos de miles de datos fiscales de particulares y empresas sustraídos a la Dirección General de Finanzas Públicas (DGFIP) francesa, y que ahora los tenían en venta. Al parecer, ya se habría producido una transacción con “dos compradores” por “varios miles de euros”, según indicó ZeroBytes a la AFP el lunes 17 de agosto. Los hackers precisan que “los datos siguen en venta”.
Tal y como confirmó el 14 de agosto un comunicado del Ministerio de Economía y Finanzas francés, en total se extrajeron los datos de 678.000 particulares y empresas para su reventa. “De los cerca de 700.000 […] afectados por este robo de datos, casi la mitad son particulares”, precisa además el ministerio a Mediapart.
A partir de ahora, todas estas personas y entidades serán informadas por la DGFIP, cuyo contacto debe comenzar “lo antes posible”, según indicó el primer ministro, Sébastien Lecornu, al término de una reunión del comité interministerial de crisis, convocada el lunes 17 de agosto por la tarde. Durante esta reunión, Matignon (sede de la oficina del primer ministro, ndt) también solicitó “una auditoría exhaustiva” a cargo de la Agencia Nacional de Seguridad de los Sistemas de Información (Anssi) y “la aceleración del plan de seguridad de los sistemas de información del Estado”, ya anunciado a finales de abril.
Además de estos datos fiscales, el dúo ZeroBytes, que en el pasado reivindicó ataques contra Intermarché y la Federación Francesa de Balonmano, afirmó el 15 de agosto en la web French Breaches (especializada en documentar fugas de datos en Francia) haber pirateado, en julio, el servidor profesional de datos catastrales que recoge información sobre los bienes inmuebles de la población francesa. Al parecer, se habrían sustraído los datos de más de dos millones de propietarios. En su comunicado, el Ministerio de Finanzas confirma “la consulta de datos catastrales”, pero no la cifra mencionada por los piratas informáticos.
El sábado 15 de agosto, la Fiscalía de París anunció la apertura de una investigación por “extracción fraudulenta de datos” y “asociación ilícita” y, al día siguiente, los senadores socialistas han exigido una comisión de investigación parlamentaria para esclarecer este ataque informático a gran escala, que afecta a datos especialmente sensibles.
Por parte de los funcionarios de la DGFIP, “está creciendo una enorme indignación”, precisa a Mediapart Solidaires Finances publiques, el principal sindicato de la DGFIP. Este último ya había alertado a la dirección, en junio, sobre los riesgos de “piratería informática, suplantación de identidad o phishing dirigido”. Pero no sirvió de nada.
¿Qué datos se han robado y cómo? ¿Cuándo se informó a la Administración y qué advertencias se formularon antes de que se revelara el ataque informático masivo? Mediapart hace un repaso de lo que los senadores socialistas califican hoy como “el ciberataque más grave de nuestro país”.
¿Qué contienen los datos robados?
Se trata de datos fiscales “como la base imponible de referencia, el coeficiente familiar o el tipo de retención en origen”, indica Finanzas. En el caso de las empresas, se trata de “su razón social o su SIREN [sistema de identificación del registro de empresas – ndr]”. El Ministerio de Finanzas asegura, por su parte, que los espacios personales de la web oficial “no se han visto comprometidos”, ya que no han conseguido las contraseñas ni los datos de acceso.
En cuanto a los datos catastrales, Finanzas hace referencia a “datos relativos a las direcciones y las superficies de los bienes inmuebles”, calificando, según Libération, su “grado de sensibilidad inferior” al de los datos fiscales. “¡Es increíble que digan eso!”, reacciona Sandra Demarcq, secretaria general de Solidaires Finances publiques, contactada por Mediapart. “El catastro es un enorme fichero que recoge información relacionada con el patrimonio de las personas: quién es propietario de qué, cuántos metros cuadrados tiene, pero también la dirección. ¡No son datos menos sensibles!”
¿Cuáles son los riesgos?
Sandra Demarcq identifica “dos tipos de amenazas” tanto para los particulares como para las empresas. “Si te ves afectado, corres el riesgo de recibir correos electrónicos falsos o llamadas falsas haciéndose pasar por la Dirección General de Finanzas Públicas. La información será tan precisa —con tu renta fiscal de referencia, por ejemplo— que podrá parecer creíble.” Y añade: “Podrían pedirte que actualices tu IBAN o anunciarte una devolución para así conseguir tus datos bancarios”, advierte la sindicalista.
Su compañero Benjamin Gandouin, secretario nacional de Solidaires Finances publiques responsable de cuestiones informáticas, advierte también sobre un cruce de datos, procedentes de otras filtraciones “como datos médicos”, que da lugar a “una selección muy precisa y personalizada” de los intentos de estafa. También teme que haya amenazas “de chantaje o extorsión” por parte de personas con acceso a los ingresos fiscales de referencia y a las direcciones postales de los contribuyentes acomodados.
Estas preocupaciones las comparte la CGT de Finanzas Públicas, la segunda fuerza sindical de la DGFIP, que se hace muchas preguntas. “Como funcionarios de Finanzas, estamos sometidos a un estricto control y vigilancia —lo cual es normal— y disponemos de medios de acceso a los datos muy limitados”, comenta Fanny de Coster, secretaria general del sindicato. “Un funcionario no puede consultar cualquier perfil fiscal sin arriesgarse a una sanción disciplinaria. ¿Y los piratas informáticos han podido acceder a los expedientes? Eso nos cabrea mucho.”
¿Qué sabía la DGFIP?
Según ha admitido el propio ministerio, los ciberdelincuentes tuvieron acceso al sistema de información de la Dirección General de Finanzas Públicas en junio y julio a raíz de “la suplantación de las credenciales de un funcionario de la DGFIP y de un tercero autorizado”. Estas intrusiones, subraya el comunicado oficial, se detectaron en su momento y la DGFIP asegura haber tomado las medidas necesarias: “interrumpió inmediatamente el acceso a todas las cuentas utilizadas en los incidentes identificados”, precisa el Ministerio.
El problema es que, al parecer, nadie se percató entonces de que se habían sustraído cientos de miles de datos de particulares y empresas. “Los controles de acceso realizados en esa ocasión no permitieron detectar que estas intrusiones habían dado lugar a robos de datos, debido a la sofisticación del ataque”, justifica el ministerio.
La Dirección General de Finanzas Públicas siempre nos trata con desprecio y nos acusa de querer crear polémica sindical
“En el mejor de los casos, es una mentira; en el peor, ¡es incompetencia total!”, alega un funcionario de la DGFIP que prefiere permanecer en el anonimato. “¡Preferiría que fuera una mentira!”, reacciona Fanny de Coster, de la CGT de Finanzas Públicas. “¡Porque sería realmente muy preocupante que no se hubieran enterado de nada!”, dice toda alarmada, y lamenta además que tanto los sindicatos como el conjunto de empleados hayan sido informados de este ataque informático… a través de la prensa, después de que ZeroBytes reivindicara el ataque.
“Estamos convencidos de que la dirección estaba al corriente del robo de datos y no informó al público, a pesar de que la ley le obliga a hacerlo en caso de fuga de datos personales”, afirma por su parte Sandra Demarcq, secretaria general de Solidaires Finanzas Públicas. De hecho, se debe notificar a la CNIL en un plazo de setenta y dos horas cuando se detecta una violación. “Si el ataque informático no se hubiera reivindicado el 12 de agosto, ¡nadie se habría enterado! ¡Ni los usuarios ni los funcionarios!”, se indigna la sindicalista. Al ser consultado por Mediapart, el Ministerio lo desmiente rotundamente: “Es inexacto afirmar que la administración conocía desde hacía dos meses la existencia de estos robos de datos sin comunicarlo”.
¿Alertas ignoradas?
En el sindicato Solidaires Finances publiques están muy indignados porque sus miembros alertaron, ya el 18 de junio, a la Dirección General de Finanzas Públicas sobre los riesgos “a muy corto plazo” de filtraciones tras violaciones de datos ya sensibles. A principios de junio, “Tchap”, el servicio de mensajería segura del Estado, fue pirateado antes de que se produjera una filtración de datos en el portal France Services, reivindicada a mediados de junio. “En nuestra opinión, los piratas informáticos obtuvieron las identidades de los funcionarios públicos en Tchap y, a partir de ellas, pudieron infiltrarse en France Services”, explica Benjamin Gandouin, secretario nacional del sindicato. “Alertamos de que esas dos filtraciones estaban sin duda relacionadas y de otras posibles violaciones”, añade.
El correo dirigido a la Dirección de Finanzas al que ha tenido acceso Mediapart indica, en efecto, que es probable que se vean afectados funcionarios de la DGFIP y que la filtración del portal France Services “podría facilitar intentos de piratería, suplantación de identidad o phishing selectivo”.
Sandra Demarcq insiste: “Era una alerta grave sobre lo que podía suceder, pero en julio recibimos una respuesta lacónica en la que se nos decía que todo estaba bajo control y que no se había producido ninguna filtración de datos importante”. Y añade, con amargura: “La Dirección General de Finanzas Públicas siempre nos trata con condescendencia y nos acusa de querer generar ‘polémica sindical’. Nunca se toma en serio nuestras reivindicaciones ni nuestras alertas sobre nuestra seguridad informática”.
La pasada primavera, la DGFIP detectó además una importante filtración de datos en el fichero Ficoba, que recoge todas las cuentas bancarias abiertas en entidades francesas, con el resultado de 1,2 millones de cuentas afectadas. “Ya fue una suplantación de identidad lo que provocó esta violación”, precisa Benjamin Gandouin. “¡Hubo una gran crisis y un plan de acción con medidas de seguridad supuestamente reforzadas! Así que realmente no entendemos cómo se ha llegado a esto. ¡Es algo sin precedentes, esta vez es una crisis monumental!”, concluye.
En un mensaje publicado en X el sábado 15 de agosto, David Amiel, ministro de Acción y Cuentas Públicas, indica que la DGFIP “al igual que muchos servicios públicos”, repele a diario numerosos ataques. Pero reconoce que se han producido fallos en materia de protección. “En este punto, debemos ser sinceros: el Estado arrastra ciertas ‘deudas técnicas’ durante décadas, y nuestras directrices deben actualizarse con mucha mayor rapidez”.
¿Quiénes son los responsables?
El asunto está adquiriendo ahora un cariz político. Thierry Cozic, senador socialista por Sarthe y vicepresidente de la Comisión de Finanzas, reclama, en Le Figaro, una comisión de investigación parlamentaria en cuanto comience el curso político “para aclarar las numerosas zonas de sombra que sin duda aparecerán próximamente sobre lo que parece un saqueo sistemático del colador digital en que se ha convertido Francia”. También lamenta que la administración tributaria haya “esperado a que el pirata reivindicara públicamente la filtración para informar”.
El partido Agrupación Nacional sigue la misma línea: “¿Por qué el Gobierno no informó a finales de junio? ¿Por qué hubo que esperar a la reivindicación malintencionada del 12 de agosto?”, pregunta en la red social X su diputado Jean-Philippe Tanguy. Bruno Retailleau, el candidato presidencial del partido Los Republicanos, promete por su parte construir “una auténtica fortaleza digital” para “proteger los datos de los franceses”.
Un cofundador de la 'joya' francesa de IA pirateó millones de libros cuando trabajaba en Meta
Ver más
En la DGFIP, el sindicato Solidaires estará atento: “Es impensable que, a raíz de esta crisis, se busquen responsabilidades individuales”, advierte Sandra Demarcq, preocupada por que se culpe a los funcionarios tras esta fuga masiva de datos. “Esta crisis se debe a la falta de medios y a los recortes presupuestarios. Todo esto es culpa de los sucesivos gobiernos, en particular desde la llegada al poder de Emmanuel Macron. El único presupuesto que han destinado ha sido para desarrollar la inteligencia artificial”.
La CGT de Finanzas Públicas concuerda: “Sabemos muy bien que el riesgo cero no existe”, subraya Fanny de Coster. “Incluso con más recursos, siempre sería posible que se produjeran fugas. Pero no vamos a dejar de lado todas las decisiones presupuestarias y políticas tomadas en los últimos años”.
Traducción de Miguel López
