La intrusió, confirmada per les autoritats franceses, hauria permès accedir a les dades d’uns 678.000 contribuents, incloent-hi identificadors fiscals, adreces, telèfons, correus electrònics i informació tributària.

La Direcció General de Finances Públiques de França (DGFiP) ha confirmat un ciberatac que va permetre a un actor maliciós accedir als seus sistemes mitjançant la usurpació de la identitat d’usuaris autoritzats i consultar i extreure informació fiscal de centenars de milers de ciutadans i empreses.

L’incident, que inicialment va sortir a la llum el 12 d’agost després de ser reivindicat per un ciberdelinqüent en un fòrum especialitzat, es va produir a finals de juny del 2026. Segons les primeres investigacions de l’administració francesa, l’atacant va aconseguir accedir de manera il·legítima al sistema d’informació de la DGFiP i va fer servir aquests accessos per consultar i extreure les dades de particulars i professionals. L’Administració assegura que els accessos que s’han fet servir van ser interromputs a finals de juny, encara que inicialment els controls no van permetre detectar que s’hagués produït una extracció d’informació.

Les investigacions posteriors han determinat que els accessos compromesos van permetre extreure informació corresponent a uns 678.000 particulars i professionals. Entre les dades afectades figuren informació fiscal com l’ingrés fiscal de referència, el quocient familiar i el tipus de retenció aplicat, a més de dades identificatives i, en el cas de les empreses, la raó social i el número SIREN. També s’haurien consultat dades cadastrals relatives a adreces i superfícies d’immobles.

Un atac basat en la suplantació de la identitat

Un dels elements més significatius de l’incident és el mètode emprat. L’atacant no hauria necessitat vulnerar directament els sistemes centrals de l’Administració, sinó que hauria aconseguit fer-se passar per un usuari legítim per accedir a recursos interns.

L’accés hauria permès arribar a eines internes de consulta utilitzades per l’Administració tributària. Segons la informació difosa després de la intrusió, l’atacant hauria aprofitat una connexió VPN per accedir a aquests recursos i fer consultes massives sobre contribuents.

La DGFiP ha activat noves mesures de restricció i ha interromput els accessos associats als incidents identificats. L’Administració francesa ha posat a més a més el cas en coneixement de la CNIL, l’organisme francès de protecció de dades, i ha anunciat que presentarà una denúncia. Les investigacions continuen amb la participació dels serveis de seguretat dels ministeris econòmics i de l’ANSSI, l’Agència Nacional francesa de Seguretat dels Sistemes d’Informació.

De moment, l’atac no s’ha atribuït públicament a un grup concret ni a un Estat. La informació disponible apunta a un actor criminal no identificat, de manera que qualsevol atribució geopolítica seria prematura.

El risc: un perfil fiscal complet per llançar nous atacs

El principal perill d’aquesta filtració no és únicament que els delinqüents coneguin la identitat dels afectats. La combinació d’informació personal i fiscal permet construir perfils extraordinàriament precisos de les víctimes.

El coneixement del nivell d’ingressos, situació familiar, adreça, telèfon, correu electrònic o relació prèvia amb l’Administració tributària es pot fer servir per dissenyar campanyes de pesca i enginyeria social molt més creïbles. Un atacant que conegui dades fiscals reals es pot fer passar per un funcionari d’Hisenda i plantejar a la víctima una suposada regularització, devolució o incidència tributària amb informació que sigui difícil de distingir d’una comunicació legítima.

La mateixa DGFiP fa temps que alerta de campanyes de frau que utilitzen la seva identitat per obtenir credencials i dades bancàries. L’Administració francesa adverteix que els delinqüents fan servir correus electrònics i comunicacions que es fan passar per serveis o empleats de la DGFiP per enganyar tant particulars com empreses.

La segona gran bretxa de la DGFiP el 2026

L’atac adquireix una dimensió encara més gran en produir-se pocs mesos després d’un altre incident que va afectar la mateixa Administració.

El febrer de 2026, la DGFiP va reconèixer accessos il·legítims al FICOBA, el fitxer nacional que recull informació sobre els comptes bancaris oberts a França. L’atacant havia aconseguit robar les credencials d’un funcionari d’un altre organisme públic que disposava d’autorització per accedir al sistema dins dels mecanismes d’intercanvi d’informació entre administracions.

L’accés es va produir entre finals de gener i el 13 de febrer i va permetre consultar part d’una base de dades que conté noms de titulars, adreces i dades bancàries com ara el RIB i l’IBAN. La DGFiP va comunicar posteriorment que l’incident havia afectat aproximadament 1,2 milions de comptes, menys de l’1 % dels registres del FICOBA, i va precisar que els identificadors fiscals no havien estat consultats.

Després d’aquell incident, l’Administració va assegurar que havia reforçat els mecanismes de seguretat dels accessos externs, en coordinació amb l’ANSSI, i va restringir el nombre de funcionaris d’organismes externs autoritzats a consultar FICOBA. També havia començat a introduir mesures addicionals d’autenticació per als serveis dirigits als ciutadans.

La successió dels dos episodis posa el focus sobre un problema especialment sensible: la seguretat dels accessos legítims als sistemes d’una de les administracions que concentra més informació personal i econòmica dels ciutadans francesos.

La DGFiP, un objectiu d’alt valor

La DGFiP és un dels organismes principals de l’Administració francesa i gestiona la recaptació d’impostos, el control fiscal i bona part de la informació econòmica i patrimonial de ciutadans i empreses. Els seus sistemes gestionen des de dades d’identitat i domicilis fins a informació sobre ingressos, patrimoni, empreses i propietats.

Precisament per la riquesa de la informació que concentra, l’Administració tributària és un objectiu especialment atractiu per als ciberdelinqüents. Una intrusió en els seus sistemes no només pot proporcionar prou dades per cometre fraus i suplantacions d’identitat, sinó que permet construir perfils detallats de víctimes potencials.

La DGFiP treballa ara per determinar l’abast definitiu de la intrusió i comunicar individualment als afectats quines categories de dades van poder ser consultades o extretes. L’Administració francesa ha assenyalat que les investigacions continuaran per aclarir com es va produir la intrusió i evitar nous accessos il·legítims.