Fisco francês: roubo fiscal confirmado, 48 dias de silêncio
A DGFiP confirmou oficialmente, em 13–14 de agosto de 2026, que um atacante usando credenciais roubadas de um funcionário e de um terceiro habilitado acessou seus sistemas em junho–julho e extraiu dados de 678.000 contribuintes e empresas. O incidente ficou 48 dias sem divulgação pública — a administração só comunicou após o próprio atacante colocar o banco à venda num fórum criminoso.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
A DGFiP confirmou a intrusão e a extração de dados; o volume de 678.000 registros foi citado pelo próprio Ministério em comunicado de 14/08/2026, convergindo com a alegação do ator — o que eleva a credibilidade do número, ainda que a investigação esteja em curso.
O vetor de acesso foi usurpação de credenciais de um agente interno e de um terceiro habilitado, com uso de VPN interna para escalar o acesso ao sistema central; a DGFiP confirmou o mecanismo de acesso inicial, mas não confirmou os detalhes técnicos adicionais alegados pelo ator (ex.: contorno de MFA).
A DGFiP detectou e bloqueou o acesso comprometido ainda em junho, mas não identificou o roubo de dados naquele momento — a revelação pública só ocorreu após a revendição de ZeroBytes em 12/08/2026, configurando uma lacuna crítica de detecção de exfiltração que durou cerca de 48 dias.
Uma segunda intrusão, alegadamente ocorrida em 29/07/2026 contra o Servidor Profissional de Dados Cadastrais (SPDC), com 252.149 linhas extraídas e até 2 milhões de titulares afetados, foi reivindica por ZeroBytes mas não confirmada oficialmente pela DGFiP até o momento de publicação deste relatório.
ZeroBytes afirma ter tido acesso potencial a dezenas de milhões de contribuintes; a DGFiP não confirmou este número. A discrepância entre o que foi extraído (678.000) e o que o ator alega ter podido acessar (dezenas de milhões) permanece sem verificação independente.
A combinação de dados fiscais detalhados (renda, alíquota, patrimônio imobiliário) com dados pessoais e de contato cria um perfil de alto valor para ataques de phishing dirigido, engenharia social e, no contexto francês, ataques físicos contra detentores de criptoativos.
Analysis
O incidente da DGFiP é um caso textbook de credential-based breach com falha crítica de detecção de exfiltração. O atacante não explorou vulnerabilidade técnica nova: usou credenciais válidas de um funcionário e de um terceiro habilitado para acessar sistemas internos, abriu um túnel VPN e realizou extração automatizada de dados. Segundo o próprio ator, sua atividade foi interrompida quando o acesso foi cortado — provavelmente durante um controle de rotina, não por detecção de anomalia comportamental. Esse detalhe é o mais revelador: a DGFiP bloqueou a conta comprometida em junho, mas seu sistema de logging e auditoria não identificou que dados haviam sido copiados. A sofisticação não estava no exploit — estava na evasão de sistemas de detecção de exfiltração.
A cronologia expõe uma falha de governança tão grave quanto a técnica. A intrusão ocorreu aproximadamente em 26 de junho; a revendição pública, em 12 de agosto — 48 dias depois. Durante esse período, a DGFiP sabia que houve comprometimento de conta, mas informou internamente que não havia evidência de roubo de dados. O RGPD (art.
33) exige notificação à CNIL em 72 horas após a tomada de conhecimento de uma violação com risco para os direitos das pessoas. A DGFiP argumentará que só tomou conhecimento da extração após a revendição de agosto — mas o sindicato Solidaires Finances Publiques já havia alertado a direção em junho sobre riscos de usurpação de identidade e phishing dirigido. Essa linha de defesa será testada no processo judicial e na apreciação da CNIL.
Há uma assimetria regulatória relevante: o art. 20, IV, 7° da lei francesa de janeiro de 1978 exclui os tratamentos implementados pelo Estado do campo das sanções administrativas da CNIL. Uma empresa privada na mesma situação poderia responder com multas de até 10 milhões de euros. O Estado não. Esse enquadramento legal não elimina a obrigação de notificação, mas retira o principal instrumento de pressão sancionatória — o que torna o escrutínio parlamentar anunciado (possível comissão de inquérito no Senado) o mecanismo de accountability mais relevante disponível.
A segunda intrusão, alegada por ZeroBytes contra o SPDC em 29 de julho, merece atenção analítica separada. Se confirmada, ocorreu quando a DGFiP já sabia que suas credenciais tinham sido comprometidas — o que aponta para falha de contenção: ou as credenciais revogadas foram insuficientes para bloquear o acesso ao SPDC, ou o ator já havia estabelecido acesso persistente antes do corte de junho. A DGFiP não confirmou esta segunda intrusão até o momento de publicação deste relatório.
O contexto francês amplifica o impacto. A França registrou 30 ataques físicos violentos contra detentores de criptoativos só no primeiro semestre de 2026, com perdas superiores a 30 milhões de dólares. O banco de dados vazado inclui renda fiscal de referência — um proxy de riqueza — e endereço de imóvel, uma combinação que, cruzada com outros vazamentos disponíveis no mercado criminoso, permite construir perfis de alto valor para extorsão física. O Ministério e a FrenchBreaches confirmam que o banco vazado não contém informações explícitas sobre criptoativos, o que limita (mas não elimina) o risco imediato de cruzamento.
Timeline
- 26 Jun 2026Data alegada pelo ator ZeroBytes para a intrusão inicial. A DGFiP confirma acesso ilegítimo 'ao final de junho' via usurpação de credenciais de agente interno e terceiro habilitado.
- 26 Jun 2026A DGFiP detecta atividade suspeita e bloqueia as contas comprometidas, mas os controles internos não identificam extração de dados, atribuindo isso à sofisticação do ataque.
- 29 Jul 2026ZeroBytes alega segunda intrusão, desta vez contra o SPDC (Serveur Professionnel de Données Cadastrales), extraindo 252.149 linhas de dados imobiliários. Não confirmado pela DGFiP.
- 12 Aug 2026ZeroBytes reivindica publicamente o ataque em fórum especializado, anuncia 678.438 linhas de dados fiscais à venda por alguns milhares de euros e divulga amostra.
- 13 Aug 2026Ministério da Economia e Finanças confirma oficialmente acesso ilegítimo ao sistema de informação da DGFiP e anuncia que a CNIL será notificada. DGFiP anuncia depósito de queixa criminal.
- 13 Aug 2026ZeroBytes reivindica a segunda intrusão (dados cadastrais), menos de 48 horas após a primeira revendição.
- 14 Aug 2026Ministério da Ação e Contas Públicas publica comunicado oficial detalhando a extensão: 678.000 particulares e empresas afetados, dados fiscais e cadastrais extraídos. DGFiP anuncia contato individual às vítimas.
- 15 Aug 2026Parquet de Paris abre inquérito judicial e confia investigação ao OFAC (Office anticybercriminalité) por extração fraudulenta de dados e acesso indevido a sistema automatizado.
- 16 Aug 2026Primeiro-Ministro Lecornu anuncia convocação de célula interministerial de crise para coordenar resposta e início dos comunicados individuais às vítimas. ANSSI mobilizada para auditoria.
- 17 Aug 2026DGFiP inicia envio de comunicações individuais às 678.000 vítimas por email ou correspondência postal, detalhando dados potencialmente expostos.
Data involved
Impact
678.000 contribuintes e empresas franceses tiveram dados fiscais e pessoais extraídos: nome, data de nascimento, endereço, telefone, email, renda fiscal de referência, alíquota de retenção na fonte, quociente familiar, número SIREN (para empresas) e dados cadastrais de imóveis. Desse total, 392.867 são particulares e 285.570 são empresas. Entre os particulares, 26.805 têm renda fiscal de referência acima de 100.000 euros e 386 superam 1 milhão de euros — perfis de alto interesse para fraude direcionada e, no contexto francês, para ataques físicos. Credenciais de acesso ao portal impots.gouv.fr não foram comprometidas. A DGFiP iniciou comunicação individual às vítimas em 17/08/2026 por email ou correio. O parquet de Paris abriu inquérito criminal conduzido pelo OFAC. A ANSSI conduz auditoria técnica cujas conclusões serão entregues às comissões de finanças da Assembleia Nacional e do Senado.
Technical links
Recommendations
- Organizações com funcionários tendo acesso a dados fiscais ou financeiros sensíveis devem implementar User and Entity Behavior Analytics (UEBA) capaz de detectar extração de dados em volume baixo via credenciais válidas — o padrão de busca/exportação gradual é precisamente o que evadiu os controles da DGFiP.
- Revisar a cadeia de acesso de terceiros habilitados (fornecedores, prestadores externos): cada conta de terceiro deve ter escopo de acesso mínimo, validade temporal definida e geração de alertas para acessos via VPN fora do horário ou padrão de uso.
- Implementar MFA resistente a phishing (FIDO2/passkeys) para qualquer conta com acesso a dados de alto valor — credenciais de senha simples ou MFA baseado em push/SMS são insuficientes contra atores que comprometem contas via phishing ou roubo de credenciais.
- Mapear e testar os fluxos de detecção de exfiltração: simular extração de dados em volume baixo (abaixo dos limiares de alerta padrão) via credencial válida para verificar se o sistema de SIEM/DLP detecta e alerta — o incidente da DGFiP mostra que a detecção de comprometimento de conta não implica detecção de exfiltração.
- Para organizações que tratam dados com alto risco de impacto físico (renda, patrimônio, localização), comunicar às partes afetadas imediatamente após confirmação — os 48 dias de silêncio da DGFiP representam o período em que as vítimas estavam expostas sem saber.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
O número exato de registros únicos efetivamente extraídos não foi confirmado por auditoria independente — a ANSSI publicar seu relatório técnico resolveria esta lacuna.
A segunda intrusão contra o SPDC (dados cadastrais, alegadamente 29/07/2026) não foi confirmada nem negada pela DGFiP — um comunicado oficial específico ou o relatório da ANSSI resolveriam.
O mecanismo exato pelo qual o atacante obteve as credenciais do funcionário e do terceiro habilitado (phishing, malware, compra em fórum, insider) não foi divulgado — a investigação do OFAC é a única fonte que poderia esclarecer.
Não está claro se o sistema de monitoramento de acesso da DGFiP tem capacidade de detectar exfiltração via VPN interna em volume baixo e fracionado — um relatório de lições aprendidas pós-incidente responderia isso.
A CNIL ainda não se manifestou formalmente sobre eventual abertura de investigação ou avaliação de conformidade com o RGPD — uma declaração da CNIL resolveria.
O sindicato Solidaires Finances Publiques afirma ter alertado a direção em junho sobre riscos de usurpação — se esse alerta foi documentado e ignorado, tem implicações de responsabilidade; documentos internos ou depoimentos no inquérito esclareceriam.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.