ZeroBytes põe à venda dados da Receita francesa: vazamento da DGFiP confirmado com 678.000 afetados
Em 12 de agosto de 2026, um actor de ameaça operando sob o alias ZeroBytes publicou um listing no fórum de hacking PwnForums, oferecendo à venda uma base de dados alegadamente roubada à Direction générale des Finances publiques (DGFiP) francesa, a agência que gere a administração fiscal do país. O vendedor reclamava acesso à infraestrutura da DGFiP desde finais de junho, obtido através de credenciais roubadas combinadas com um bypass da autenticação de dois fatores, e oferecia tanto um dump estático como o que descrevia como acesso ainda vivo aos sistemas fiscais franceses. Dias depois, o Ministério da Economia e Finanças da França confirmou acesso ilegítimo aos sistemas de informação da DGFiP afetando aproximadamente 678.000 pessoas e organizações.
O que o ministério confirmou
A declaração oficial é mais comedida do que o post do fórum, e o vão entre os dois merece manter-se à vista. Segundo o ministério, os dados comprometidos cobrem informação de rendimentos, composição familiar, taxas de retenção, nomes de empresas e números de registo SIREN, moradas cadastrais e áreas de propriedades. Crucialmente, o governo sublinhou que as contas online dos utilizadores não foram afetadas e que nenhum nome de utilizador ou palavra-passe de contribuintes particulares ou profissionais foi roubado. Assim que o acesso ilegítimo foi identificado, a DGFiP restringiu o acesso aos seus sistemas de informação sensíveis e lançou uma investigação junto com a ANSSI, a agência nacional de cibersegurança francesa. A autoridade de proteção de dados CNIL foi notificada, e as notificações às vítimas saem por e-mail e correio, explicitando que categorias de dados podem ter sido consultadas e que precauções os destinatários devem tomar. A DGFiP também apresentou queixa criminal. As alegações do vendedor, sem verificação
O ZeroBytes conta uma história maior do que a do ministério. Nos seus posts no fórum, afirma ter alcançado o Serveur Professionnel de Données Cadastrales (SPDC), o portal profissional que dá acesso ao cadastro centralizado francês, e diz que esse portal continha registos sobre cerca de 20 milhões de cidadãos. Declara ter extraído 252.149 registos tocando mais de dois milhões de pessoas antes de abandonar o scraping completo como impraticavelmente lento, e que na altura do post ainda estava ligado ao painel e disposto a vender esse acesso juntamente com o dump (ZATAZ). Nenhuma destas cifras foi verificada de forma independente, e devem ser tratadas como marketing até a forense dizer o contrário. O número com peso oficial é 678.000. A discrepância importa na prática. Se a exposição real se medisse em milhões em vez de centenas de milhares, os volumes de notificação e o risco de phishing escalaria em consequência. Mas os vendedores underground inflam o alcance rotineiramente para subir preços, e uma alegação de acesso vivo não pode ser testada por terceiros. Ela confronta o relato da agência: cada conta comprometida foi cortada assim que detetada, com controlos de acesso adicionais impostos desde então. Porque é que os dados fiscais se vendem
Os registos fiscais estão entre os conjuntos de dados mais perigosos que podem circular em mercados criminais, precisamente por causa do seu aspeto ordinário. Um nome emparelhado com o rendimento tributável de referência, a composição familiar e uma taxa de retenção exata permite a um fraudador usurpar a autoridade fiscal com credibilidade devastadora. Uma chamada ou e-mail citando a tua faixa real de rendimentos e a tua taxa real de prélèvement à la source não soa a phishing; soa a Bercy. Para as empresas, nomes de empresas mais números SIREN habilitam fraude de faturas e chamadas convincentes dirigidas a pessoal de folha de pagamento e contas a pagar. Moradas cadastrais e áreas de propriedades acrescentam uma dimensão física: quem possui imóveis grandes ou valiosos e onde essas pessoas vivem. Esta é a mesma dinâmica que notámos quando os registos do bureau de crédito alemão apareceram num fórum underground no início deste verão; ver a nossa cobertura da alegada venda da base de dados SCHUFA. Conjuntos de dados financeiros e administrativos à escala nacional tornaram-se mercadoria premium nos mercados de línguas europeias, e as instituições estatais são agora alvos regulares em vez de exceções. Um actor em série com um método familiar
O ZeroBytes não é um novato. Reportagens em meios franceses e russos ligam o mesmo alias a uma série de intrusões em 2026 contra organizações francesas, incluindo uma cadeia de supermercados, uma plataforma de gaming e uma federação desportiva, todas seguindo um playbook consistente: roubar credenciais de um funcionário ou terceiro autorizado, entrar numa ferramenta de consulta interna através de uma VPN, depois extrair dados registo a registo para ficar sob os limiares de deteção desenhados para apanhar descarregamentos em massa (FrenchBreaches). A cobertura em russo resume o caso para um público mais alargado (Xakep), enquanto as reportagens em inglês confirmam a cifra de 678.000 e as alegações do SPDC (BleepingComputer). O método ilumina uma fraqueza estrutural partilhada por muitas administrações grandes: as ferramentas de pesquisa internas construídas para trabalho administrativo legítimo tornam-se motores de extração eficientes mal o seu único controlo é um login. A exfiltração consulta a consulta vence o alerting por volume quase por desenho. O que vigiar
Três coisas moldarão o desenrolar desta história. Primeira, se a investigação da ANSSI revê a cifra de 678.000 em alta à medida que a forense avança, ou valida a narrativa SPDC maior do vendedor. Segunda, se alguma parte do dump vem publicamente à superfície, o que mudaria o incidente de uma venda controlada para um saque a céu aberto. Terceira, a que conclusão chega a CNIL sobre a cronologia entre a intrusão de finais de junho e a divulgação, dado que os relógios de notificação de breach do GDPR arrancam com o conhecimento do próprio breach, não com a confirmação de que os dados partiram. Para quem for notificado, o conselho prático não muda: trata e-mails, chamadas e cartas com tema fiscal com suspeita elevada, verifica qualquer pedido de forma independente por canais oficiais, e nunca ajas sobre alterações de pagamento ou de dados bancários provocadas por contacto não solicitado. Uma base de dados assim não precisa de ser revendida para causar dano; uma cópia em mãos erradas chega para alimentar uma época de phishing muito convincente.
