ZeroBytes ofrece a la venta datos de la agencia tributaria francesa: la brecha de DGFiP confirmada con 678.000 afectados
El 12 de agosto de 2026, un actor de amenaza operando bajo el alias ZeroBytes publicó un listing en el foro de hacking PwnForums ofreciendo a la venta una base de datos supuestamente robada de la Direction générale des Finances publiques (DGFiP) francesa, la agencia que administra la hacienda del país. El vendedor reclamaba acceso a la infraestructura de la DGFiP desde finales de junio, obtenido mediante credenciales robadas combinadas con un bypass de la autenticación de dos factores, y ofrecía tanto un dump estático como lo que describía como acceso aún activo a los sistemas fiscales franceses. Días después, el Ministerio de Economía y Finanzas de Francia confirmó un acceso ilegítimo a los sistemas de información de la DGFiP que afecta a aproximadamente 678.000 personas y organizaciones.
Lo que el ministerio confirmó
La declaración oficial es más medida que la publicación del foro, y la brecha entre ambas conviene tener a la vista. Según el ministerio, los datos comprometidos cubren información de ingresos, composición familiar, tasas de retención, nombres de empresas y números de registro SIREN, direcciones catastrales y superficies de propiedades. Crucialmente, el gobierno subrayó que las cuentas en línea de los usuarios no fueron afectadas y que no se robaron nombres de usuario ni contraseñas de contribuyentes particulares o profesionales. Tan pronto como se identificó el acceso ilegítimo, la DGFiP restringió el acceso a sus sistemas de información sensibles y lanzó una investigación junto a la ANSSI, la agencia nacional de ciberseguridad de Francia. La autoridad de protección de datos CNIL fue notificada, y las notificaciones a las víctimas salen por correo electrónico y postal, detallando qué categorías de datos pudieron haberse consultado y qué precauciones deberían tomar los destinatarios. La DGFiP también ha presentado una denuncia penal. Las afirmaciones del vendedor, sin verificar
ZeroBytes cuenta una historia más grande que la del ministerio. En sus publicaciones del foro, afirma haber alcanzado el Serveur Professionnel de Données Cadastrales (SPDC), el portal profesional que da acceso al catastro centralizado de Francia, y dice que ese portal contenía registros de unos 20 millones de ciudadanos. Declara haber extraído 252.149 registros que tocaban a más de dos millones de personas antes de abandonar el scraping completo por impracticablemente lento, y que al momento de publicar seguía conectado al panel y dispuesto a vender ese acceso junto con el dump (ZATAZ). Ninguna de estas cifras ha sido verificada de forma independiente, y deben tratarse como marketing hasta que la forense diga lo contrario. El número con peso oficial es 678.000. La discrepancia importa en la práctica. Si la exposición real se midiera en millones en lugar de cientos de miles, los volúmenes de notificación y el riesgo de phishing escalarían en consecuencia. Pero los vendedores underground inflan el alcance de rutina para subir precios, y una afirmación de acceso activo no puede ser probada por externos. Choca con el relato de la agencia: cada cuenta comprometida fue cortada al detectarse, con controles de acceso adicionales impuestos desde entonces. Por qué se venden los datos fiscales
Los registros fiscales están entre los conjuntos de datos más peligrosos que pueden circular en mercados criminales, precisamente por lo ordinarios que se ven. Un nombre emparejado con el ingreso imponible de referencia, la composición familiar y una tasa de retención exacta permite a un fraudeista suplantar a la autoridad fiscal con credibilidad devastadora. Una llamada o un correo citando tu banda real de ingresos y tu tasa real de prélèvement à la source no suena a phishing; suena a Bercy. Para las empresas, nombres de empresas más números SIREN habilitan fraude de facturas y llamadas convincentes dirigidas a personal de nómina y cuentas por pagar. Las direcciones catastrales y las superficies añaden una dimensión física: quién posee propiedades grandes o valiosas y dónde viven. Esta es la misma dinámica que señalamos cuando los registros de la agencia de crédito alemana aparecieron en un foro underground a principios de este verano; ver nuestra cobertura de la supuesta venta de la base de datos SCHUFA. Los conjuntos de datos financieros y administrativos a escala nacional se han convertido en mercancía premium en mercados de lenguas europeas, y las instituciones estatales son ahora objetivos regulares en lugar de excepciones. Un actor en serie con un método familiar
ZeroBytes no es un recién llegado. Reportajes en medios franceses y rusos vinculan el mismo alias a una cadena de intrusiones en 2026 contra organizaciones francesas, incluyendo una cadena de supermercados, una plataforma de juegos y una federación deportiva, todas siguiendo un manual consistente: robar credenciales de un empleado o tercero autorizado, entrar a una herramienta de consulta interna por VPN, y luego extraer datos registro a registro para quedar por debajo de los umbrales de detección diseñados para cazar descargas masivas (FrenchBreaches). La cobertura en ruso resume el caso para un público más amplio (Xakep), mientras que los reportajes en inglés confirman la cifra de 678.000 y las afirmaciones del SPDC (BleepingComputer). El método ilumina una debilidad estructural compartida por muchas administraciones grandes: las herramientas de búsqueda internas construidas para trabajo administrativo legítimo se vuelven motores de extracción eficientes en cuanto su único control es un login. La exfiltración consulta a consulta vence a la alerta por volumen casi por diseño. Qué vigilar
Tres cosas darán forma al desarrollo de esta historia. Primera, si la investigación de la ANSSI revisa al alza la cifra de 678.000 mientras la forense avanza, o valida la narrativa SPDC más grande del vendedor. Segunda, si alguna parte del dump sale a la luz públicamente, lo que cambiaría el incidente de una venta controlada a un saqueo abierto. Tercera, qué concluye la CNIL sobre la cronología entre la intrusión de finales de junio y la divulgación, dado que los relojes de notificación de breach del GDPR arrancan con la conciencia del breach mismo, no con la confirmación de que los datos salieron. Para quien reciba notificación, el consejo práctico no cambia: trata correos, llamadas y cartas con tema fiscal con sospecha elevada, verifica cualquier solicitud de forma independiente por canales oficiales, y nunca actúes sobre cambios de pago o datos bancarios provocados por contacto no solicitado. Una base de datos así no necesita revenderse para causar daño; una copia en las manos equivocadas basta para alimentar una temporada de phishing muy convincente.
