La Dirección General de Finanzas Públicas de Francia (DGFiP, por sus siglas en francés) ha confirmado este mes lo que un actor de amenazas ya presumía en canales clandestinos desde finales de junio: la extracción de datos fiscales de 678.000 contribuyentes, entre particulares y empresas. Los técnicos del organismo hablan del ataque más sofisticado al que se han enfrentado hasta la fecha, y la unidad de cibercriminalidad de la Fiscalía de París ya ha abierto una investigación penal remitida a la OFAC.
Le pongo en contexto: la OFAC es la oficina francesa especializada en la lucha contra la ciberdelincuencia, creada en 2020 para coordinar la respuesta ante incidentes que superan la capacidad de las comisarías. Que la Fiscalía derive el caso a este organismo confirma, de facto, que el ataque a la DGFiP se trata desde el primer minuto como un incidente de dimensión nacional, no como un apunte aislado.
Los datos comprometidos incluyen ingresos, tipos impositivos y circunstancias familiares de los afectados. Para los particulares, el fisco galo no ha detallado el alcance exacto de la información personal expuesta. Para las empresas, el botín es menos sensible: números de registro SIREN, direcciones fiscales y la dirección del representante legal. Los ingresos, los tipos impositivos y la situación familiar son exactamente lo que un atacante necesita para construir un phishing creíble, capaz de extraer contraseñas o números de cuenta bancaria en una segunda fase.
Anatomía del ataque: lo que el atacante se llevó y lo que no consiguió
Hay una distinción crítica que conviene subrayar: los datos extraídos no permiten acceder a las cuentas seguras de impots.gouv.fr, el portal fiscal francés. Los técnicos de la DGFiP lo han dejado claro. Sin embargo, yo lo veo como un alivio engañoso: la información fiscal robada tiene un valor operativo enorme para campañas de suplantación de identidad dirigidas.
Véalo desde la perspectiva del atacante. Tener los ingresos de una persona, su tipo impositivo y su situación familiar permite redactar un correo electrónico tan preciso que la víctima difícilmente dudará de su autenticidad. El dato fiscal no abre la puerta directamente, pero entrega la llave del buzón donde se produce el siguiente contacto. La cadena de ataque no termina con la exfiltración: comienza ahí.
«El ataque permitió a los hackers extraer datos relativos a 678.000 usuarios del sistema fiscal francés, incluyendo tanto particulares como empresas», recoge la prensa francesa. Y añade un matiz inquietante: «Las autoridades fiscales declararon que el incidente fue más complejo que los ciberataques a los que se habían enfrentado en el pasado».
El dato fiscal robado no abre la puerta por sí mismo, pero entrega la llave para que el siguiente contacto sea verosímil.
El ministro de Cuentas Públicas, David Amiel, ha pedido a la DGFiP que comience a notificar a los contribuyentes afectados cuanto antes, con especial énfasis en alertar sobre el riesgo de robo de identidad. La investigación sigue abierta y los analistas todavía necesitan establecer cómo entraron los atacantes, quiénes son y si los datos ya han sido vendidos o utilizados.
Un patrón de tres organismos: ANTS, INSEE y ahora la DGFiP
El ataque a Hacienda no es un incidente aislado. Le pido que preste atención a la secuencia: antes del fisco francés, los sistemas vinculados a la ANTS, la agencia nacional de documentos seguros, y al INSEE, el instituto nacional de estadística, sufrieron intrusiones igualmente relevantes. Tres organismos públicos franceses alcanzados en rápida sucesión no es una coincidencia. Es un patrón que apunta a una campaña sistemática contra infraestructuras críticas de datos del Estado galo.
Yo lo veo así: un atacante que encadena tres objetivos gubernamentales en semanas no está pescando al azar. Está mapeando los sistemas de información del Estado francés, probando vectores de entrada, midiendo tiempos de respuesta. Cada incidente le da información sobre la arquitectura defensiva del siguiente objetivo.
De hecho, esta secuencia recuerda a lo que los analistas de inteligencia llaman reconocimiento activo: el atacante no se limita a explotar una vulnerabilidad, sino que observa cómo reacciona la defensa para calibrar su siguiente movimiento. La ANTS gestiona documentos de identidad; el INSEE, datos estadísticos; la DGFiP, información fiscal. El valor combinado de los tres repositorios es monumental.
Dossier Moncloa: Ojos en la Sombra
Abro ahora la carpeta analítica. El ataque a la DGFiP presenta las tres coordenadas clásicas del espionaje económico moderno: un vector técnico no divulgado, una exfiltración masiva de datos sensibles y una atribución que, por ahora, permanece en el vacío. Ningún grupo APT ha reclamado la acción de forma verificable, y las autoridades francesas no han soltado ni una pista sobre la motivación.
Mi estimación del vector de amenaza es la siguiente: se trata de un ataque de tipo APT —una amenaza persistente avanzada— con todas las letras. El calificativo que ha usado la propia DGFiP, «más sofisticado que cualquier cosa que hayan enfrentado antes», es el indicador más fiable. Un actor estatal o cuasi estatal, o bien un grupo criminal con capacidades técnicas muy superiores a la media, ha pasado meses dentro de los sistemas del fisco francés antes de la exfiltración.
¿Quién ataca? Sin atribución técnica respaldada por mandantes independientes como Mandiant o CrowdStrike, no lo puedo afirmar. Lo que sí puedo decir es que el perfil encaja con los intereses clásicos de servicios de inteligencia extranjeros interesados en perfiles fiscales de ciudadanos europeos: Rusia, China, Irán y Corea del Norte mantienen programas activos de espionaje económico. También podría tratarse de un grupo criminal especializado en fraude fiscal. La OFAC tendrá que determinarlo.
¿Quién defiende? La DGFiP y la OFAC, con el respaldo técnico de la ANSSI, la agencia nacional francesa de seguridad de los sistemas de información. ¿Quién mira? El CNI y el CCN-CERT españoles siguen de cerca este tipo de incidentes porque el patrón de ataque —repositorios masivos de datos fiscales de ciudadanos europeos— es directamente replicable contra la Agencia Tributaria española. No es una hipótesis alarmista: es contrainteligencia básica.
El nivel de clasificación estimado del material comprometido —a juzgar por la naturaleza de los datos, ingresos y tipos impositivos— se sitúa en en la categoría de «Confidencial» según los estándares de la UE, rozando el «Sin Clasificar pero Sensible». No es material clasificado en sentido estricto, pero su explotación secundaria (ingeniería social, extorsión, espionaje económico) puede causar un daño desproporcionado al individuo afectado.
El precedente histórico que me trae a la memoria es la operación SolarWinds de 2020, atribuida al SVR ruso: meses de permanencia silenciosa en sistemas gubernamentales antes de cualquier actividad visible. La diferencia clave es que aquí no hay todavía atribución técnica pública. La paciencia del atacante y la sofisticación del método sugieren el mismo modus operandi: entrar, permanecer invisible y exfiltrar sin prisa.
Termino con una reflexión abierta. El próximo hito concreto será la notificación oficial de la DGFiP a los 678.000 afectados, prevista para los próximos días. Si alguno de ustedes recibe una comunicación del fisco francés solicitando contraseñas o datos bancarios, desconfíen por defecto: Hacienda no pide claves de acceso por correo. Esa advertencia no es un añadido; es la primera línea de defensa después de un compromiso de esta magnitud.
