Tres ataques cibernéticos consecutivos contra el sitio tributario en Francia han expuesto los datos de casi 700.000 personas y empresas. El Ministerio de Educación, la Agencia Nacional de Seguridad Documental (ANTS), el servicio interministerial de mensajería segura Tchap, la URSSAF (la agencia francesa de seguridad social), la Oficina Francesa de Inmigración e Integración y, ahora, la Dirección General de Finanzas Públicas han sido atacados.
El ataque se intensificó drásticamente en tan solo unos días. A finales de junio, el acceso no autorizado al sistema informático de la Dirección General de Finanzas Públicas (DGFiP) francesa permitió consultar y extraer datos fiscales. El 13 de agosto, el Ministerio de Economía y Finanzas (Bercy) confirmó la intrusión, sin revelar inicialmente el número exacto de personas afectadas.
¿Quién es ZeroBytes?
Detrás de esta operación, un seudónimo: ZeroBytes. ¿Quiénes son? ¿Por qué atacaron los servicios tributarios? ¿Vendieron los datos a un servicio secreto extranjero? ¿Es parte de la guerra híbrida rusa? ¿ZeroBytes es un grupo de varias personas?
El nombre ZeroBytes apareció en foros frecuentados por ciberdelincuentes, tras la intrusión en los sistemas de la administración tributaria francesa. El grupo afirma haber penetrado con éxito la red de la DGFiP y haber extraído varios cientos de miles de líneas de datos. En intercambios informados por varios medios de comunicación, ZeroBytes se presenta como un grupo de dos personas, en lugar de una organización cibercriminal estructurada.
La oposición, tanto de izquierda como de derecha, reaccionó ante la piratería de los datos fiscales de 678.000 ciudadanos franceses, expresando una preocupación generalizada por la vulnerabilidad de Francia a los ciberataques.
Se cree que este no es el primer ataque de ZeroBytes en Francia. El grupo de hackers también está detrás de varios ataques reivindicados, en particular contra Intermarché, una cadena de supermercados.
Los dos ataques más recientes fueron reivindicados en un foro de reventa de datos en la dark web. El primer ataque, confirmado por la Dirección General de Impuestos y Aduanas (DGFiP) francesa, se remonta a finales de junio y tuvo como objetivo el sitio web de la DGFiP, impots.gouv.fr.
Los datos en la dark web
El hacker afirma en el foro haber accedido a una VPN, utilizada por los funcionarios tributarios. Esta red privada virtual normalmente permite el acceso remoto seguro a herramientas internas. Supuestamente, este acceso le permitió robar casi 680.000 líneas de datos, antes de que la DGFiP cortara la conexión.
Un segundo ataque, llevado a cabo a finales de julio y también reivindicado por «ZeroBytes», y posteriormente confirmado por la DGFiP, tuvo como objetivo el Servidor Profesional de Datos Catastrales (SPDC). Para acceder, el hacker afirma haber eludido la autenticación multifactor, el sistema que requiere verificación en dos pasos para iniciar sesión.
Considerando que la descarga era demasiado lenta, afirma haberla interrumpido intencionadamente, tras recuperar más de 250.000 entradas. Según sus propios cálculos, estas entradas corresponden a más de dos millones de propietarios, ya que varias personas pueden estar asociadas a una misma parcela.
El hacker que roba los datos no es necesariamente quien los utilizará posteriormente para estafar a las víctimas. Una base de datos con información personal y fiscal puede revenderse a otros delincuentes, quienes la utilizan para realizar campañas de phishing o robo de identidad.
El grupo de hackers afirmó no tener una motivación ideológica o política específica, declarando que su principal objetivo era el dinero. El precio solicitado por los datos se fijó en varios miles de euros. Aunque en esta etapa no es posible confirmar de forma independiente que se haya realizado alguna transacción.
La filtración afectó a datos fiscales de particulares y empresas. Según la información disponible, los archivos podrían contener nombres, direcciones, números de teléfono e información relacionada con los ingresos declarados.
El sitio web especializado FrenchBreaches informó que 678.438 personas se vieron afectadas.
Auditoría exhaustiva
La oficina del Primer Ministro francés ha ordenado una auditoría exhaustiva para esclarecer esta filtración de datos.
Esta filtración de datos fiscales ha puesto al Ministerio de Hacienda bajo un intenso escrutinio. El martes, tras varias declaraciones públicas en los últimos días, el ministro de Cuentas Públicas, David Amiel, ofreció una conferencia de prensa sobre el tema. El objetivo oficial era «supervisar la respuesta al ciberataque dirigido contra la Dirección General de Finanzas Públicas».
El objetivo extraoficial era defender la reputación de la Dirección General de Finanzas Públicas (DGFiP) y del Ministerio de Hacienda, ante las acusaciones de negligencia en este asunto.
«La confianza se ha visto afectada», reconoció Amélie Verdier, directora general de Finanzas Públicas, quien recalcó que, además de las herramientas digitales, se puede contactar con la DGFiP por teléfono o «en persona, sin cita previa».
Las autoridades tributarias contactan a las víctimas
Las autoridades tributarias comenzaron a contactar a las víctimas de la filtración de datos, que afectó a sus servicios hace unas semanas, el lunes por la noche. Se insta a los afectados a extremar las precauciones.
«Usted se ve afectado por este acto malicioso». Estas son las primeras palabras del correo electrónico que comenzaron a recibir esta semana varios cientos de miles de contribuyentes.
Este correo electrónico comienza resumiendo brevemente los hechos e informa rápidamente al destinatario sobre «los datos a los que podrían haber accedido» los hackers durante la filtración. Esto incluye, en particular, «su número de identificación fiscal, su estado civil, sus datos de contacto, su situación fiscal y la lista de mensajes que ha intercambiado con la DGFiP, a través del sistema de mensajería impots.gouv.fr».
No obstante, las declaraciones y notificaciones fiscales permanecen intactas, al igual que el acceso a las cuentas personales en impots.gouv.fr, según especifica la administración.
El mensaje advierte a las víctimas de que estos datos pueden utilizarse principalmente para estafas o robo de identidad, «mediante mensajes o llamadas que resultan más creíbles al mencionar los datos personales robados».
La DGFiP formula varias recomendaciones para protegerse contra estos riesgos. Entre ellas, «tener especial cuidado con cualquier contacto» que tenga como objetivo «extraer información confidencial, obtener la validación de transacciones bancarias o solicitar la contraseña para acceder a la cuenta de Hacienda Pública».
Las autoridades fiscales nunca solicitarán información a los contribuyentes fuera del portal seguro en línea, y las cartas «nunca incluyen enlaces a servicios en línea», indican. También es recomendable vigilar de cerca las cuentas bancarias.
Por lo tanto, se recomienda precaución: es mejor no hacer clic en ningún enlace, verificar la dirección de correo electrónico del remitente y no proporcionar ninguna información solicitada fuera de su cuenta segura en línea.
Tras la Agencia Tributaria, ZeroBytes se atribuye la responsabilidad de la filtración masiva de datos en el Ministerio de Educación. El alarmante hackeo de datos fiscales franceses pone de manifiesto las deficiencias de la administración.
Investigación de la Fiscalía
La Fiscalía de París ha abierto una investigación, principalmente por «extracción fraudulenta de datos» y «conspiración criminal».
El grupo de hackers afirmó haber vendido los datos robados. Entre la información fiscal que poseen las personas se encuentran sus nombres completos, ingresos sujetos a impuestos, coeficiente familiar y tasa de retención. La precisión de estos archivos alimenta los temores de estafas dirigidas.
Pero el asunto sigue escalando. En el ámbito político, los senadores han solicitado una investigación parlamentaria, señalando también otra filtración de datos que afectó al Ministerio de Hacienda.
El ministro David Amiel también prometió implementar «medidas de emergencia» para reforzar la seguridad, incluyendo la adopción generalizada de la autenticación de dos factores, que claramente faltó durante el ataque de ZeroBytes. La administración organizará ejercicios de hacking asistidos por IA, lo que significa que realizará «autoataques» para detectar vulnerabilidades en sus sistemas.
Amélie Verdier, directora general de Finanzas Públicas, habló el martes 18 de agosto sobre el ciberataque fiscal y confirmó una «tercera filtración» de datos relacionados con herencias.
