Hackeo de Hacienda en Francia 2026: filtración de la DGFiP
La agencia tributaria francesa, la DGFiP (el equivalente aproximado de la Agencia Tributaria española o el IRS estadounidense), confirmó el 13 de agosto de 2026 haber sufrido una filtración de datos: un hacker que se hace llamar ZeroBytes asegura haber robado 678.438 líneas de datos de contribuyentes (nombre, dirección, teléfono, renta de referencia, tipo de retención) mediante una intrusión que se remonta a finales de junio. La DGFiP notificará al regulador de datos francés, presentará una denuncia y advierte del riesgo de phishing. Fuentes: Ministerio de Economía de Francia, iPhoneSoft, KultureGeek.
El contexto
La agencia tributaria francesa, la DGFiP (Direction générale des Finances publiques), más o menos el equivalente francés de la Agencia Tributaria española o el IRS estadounidense, confirmó el 13 de agosto de 2026 haber sufrido una filtración de datos, un día después de que un hacker con el alias ZeroBytes reivindicara públicamente la intrusión en un foro especializado en datos robados. El hacker asegura haber extraído 678.438 líneas de datos de contribuyentes: nombre, dirección, teléfono, renta fiscal de referencia y tipo de retención.
Según el Ministerio de Economía francés, la intrusión real se remonta a finales de junio de 2026: credenciales internas robadas habrían permitido al hacker infiltrarse en varios servidores antes de acceder a una VPN que le abrió las herramientas internas de la DGFiP. El desfase de varias semanas entre la intrusión real y su descubrimiento público muestra lo difícil que resulta detectar este tipo de ataques antes de que se hagan públicos.
No es un incidente aislado. Entre enero y febrero de 2026, credenciales de personal desviadas ya permitieron un acceso fraudulento a 1,2 millones de cuentas bancarias a través de FICOBA, el registro nacional francés de cuentas bancarias. La DGFiP ha anunciado nuevas restricciones de acceso, está notificando a la CNIL, la autoridad francesa de protección de datos, presentará una denuncia penal, y trabaja con la ANSSI, la agencia nacional de ciberseguridad, para determinar el alcance total. Se espera que los contribuyentes afectados reciban notificaciones individuales.
El riesgo concreto para los contribuyentes es el phishing dirigido: datos fiscales reales hacen que los mensajes fraudulentos que se hacen pasar por la agencia tributaria resulten mucho más convincentes. La DGFiP recuerda que nunca pide datos bancarios, contraseñas o códigos de tarjeta por correo, SMS o teléfono. Fuentes: Ministerio de Economía de Francia, iPhoneSoft, KultureGeek, univers-simu.com, frenchbreaches.com.