Um ataque cibernético contra a administração tributária francesa resultou no roubo de informações de 678 mil contribuintes e profissionais, expondo dados fiscais que podem ser utilizados na criação de golpes altamente personalizados.
A Direção-Geral das Finanças Públicas da França (DGFiP) confirmou que acessos não autorizados aos seus sistemas permitiram consultar e extrair informações de pessoas físicas e empresas.
Entre os dados comprometidos estão renda fiscal de referência, composição familiar e alíquota de retenção na fonte. No caso das empresas, registros como razão social e número SIREN também foram acessados.
Informações cadastrais relacionadas a imóveis, incluindo endereços e áreas das propriedades, também aparecem entre os registros consultados durante as invasões.
Apesar da dimensão do incidente, o governo francês afirma que os espaços fiscais pessoais e profissionais dos contribuintes não foram comprometidos e que nomes de usuário e senhas das contas tributárias não foram roubados.
Ataques ocorreram em junho e julho
A investigação aponta para dois incidentes distintos contra a infraestrutura da administração fiscal francesa.
O primeiro ocorreu no final de junho de 2026 e permitiu acesso a informações fiscais relacionadas a centenas de milhares de pessoas e empresas.
Um segundo incidente aconteceu no final de julho e envolveu registros relacionados ao cadastro imobiliário.
As autoridades francesas afirmam que os acessos indevidos foram interrompidos depois de identificados.
A investigação continua para determinar com precisão quais informações foram consultadas ou extraídas em cada caso.
Credenciais comprometidas abriram caminho
As informações disponíveis até o momento indicam que os invasores não precisaram explorar diretamente uma vulnerabilidade desconhecida nos sistemas centrais da Receita francesa.
O acesso teria ocorrido por meio do comprometimento de identidades e credenciais utilizadas por pessoas autorizadas.
Esse detalhe é particularmente relevante para empresas e governos porque demonstra uma mudança importante no perfil de muitos ataques modernos.
Quando criminosos conseguem assumir uma identidade legítima, determinadas ferramentas de segurança podem interpretar inicialmente a atividade como uma operação autorizada.
O invasor passa a operar utilizando permissões que pertencem a um usuário real.
Esse tipo de ataque aumenta a importância de controles como autenticação multifator, gerenciamento de privilégios, análise comportamental e monitoramento de grandes volumes de consultas ou downloads.
Quais dados foram roubados?
A DGFiP confirmou diferentes categorias de informações entre os registros comprometidos.
Para pessoas físicas, os dados incluem informações tributárias como:
- renda fiscal de referência;
- quociente familiar;
- alíquota de retenção na fonte;
- determinadas informações cadastrais e patrimoniais.
No caso de empresas e profissionais, aparecem informações como:
- razão social;
- número SIREN;
- dados administrativos associados aos registros.
Os invasores também conseguiram consultar informações cadastrais de propriedades, incluindo endereços e áreas dos imóveis.
A combinação desses dados aumenta significativamente o risco de engenharia social.
Senhas das contas fiscais não foram roubadas
Existe uma distinção importante no incidente.
Segundo o Ministério da Economia e Finanças francês, os criminosos não comprometeram diretamente os espaços fiscais online dos contribuintes.
Também não há indicação de que nomes de usuário ou senhas dos cidadãos e empresas tenham sido extraídos.
Isso reduz o risco de acesso direto às contas fiscais utilizando as informações obtidas no ataque.
Mas não elimina o problema.
Dados tributários reais podem ser utilizados para convencer uma vítima de que determinada comunicação veio efetivamente da administração pública.
Golpes podem ficar muito mais convincentes
Um dos principais riscos depois de um vazamento desse tipo é o spear phishing, modalidade de ataque altamente direcionada.
Em vez de enviar milhares de mensagens genéricas dizendo que existe um problema com uma declaração de imposto, um criminoso pode utilizar informações reais sobre determinada pessoa.
Imagine receber uma mensagem contendo seu nome, endereço e informações relacionadas à sua situação tributária.
O texto informa que existe uma pendência e direciona para uma página praticamente idêntica ao portal oficial.
O objetivo pode ser roubar credenciais bancárias, senhas, documentos ou outras informações.
Quanto mais dados reais estiverem disponíveis, maior a capacidade do criminoso de criar uma narrativa convincente.
Hacker afirma estar vendendo os dados
O incidente ganhou visibilidade depois que um agente malicioso utilizando o nome ZeroBytes afirmou ter comprometido os sistemas da administração tributária francesa.
Em 12 de agosto, o invasor anunciou em um fórum cibercriminoso uma base supostamente obtida durante o ataque.
Depois da publicação, autoridades francesas aprofundaram as investigações e confirmaram que acessos não autorizados haviam efetivamente resultado na extração de informações.
A existência de uma oferta criminosa, entretanto, não significa automaticamente que todos os dados anunciados pelo invasor tenham sido validados de maneira independente.
O que está confirmado oficialmente é a exposição das informações relacionadas aos 678 mil indivíduos e profissionais identificados pela investigação.
Governo notificou autoridade de proteção de dados
O incidente também foi comunicado à Commission Nationale de l’Informatique et des Libertés (CNIL), autoridade francesa responsável pela proteção de dados pessoais.
A França possui uma das estruturas regulatórias mais maduras da Europa nessa área e está submetida ao Regulamento Geral sobre a Proteção de Dados da União Europeia, o GDPR.
A administração francesa também trabalha com a ANSSI, agência nacional de segurança cibernética, durante a investigação do incidente.
As pessoas e empresas afetadas deverão receber comunicações individuais informando quais dados podem ter sido consultados ou extraídos e quais precauções devem adotar.
Incidente mostra o valor de informações tributárias
Bases de dados fiscais estão entre os conjuntos mais sensíveis mantidos por governos.
Elas não contêm apenas informações de identificação.
Podem revelar renda, patrimônio, composição familiar, empresas relacionadas a determinada pessoa e propriedades.
Individualmente, algumas dessas informações podem não permitir um ataque direto.
Quando combinadas, porém, permitem construir um perfil bastante detalhado de uma vítima.
É justamente esse contexto que torna o incidente francês particularmente relevante.
Roubo de identidade passa a ser preocupação
Informações fiscais também podem ser combinadas com dados provenientes de outros vazamentos.
Um criminoso pode cruzar nome, endereço e renda obtidos em um incidente com e-mails e senhas provenientes de outra base comprometida.
Essa combinação pode permitir ataques que seriam inviáveis utilizando apenas um dos bancos de dados.
É uma característica importante da economia do cibercrime atual.
Informações roubadas em diferentes momentos podem permanecer circulando durante anos e ganhar novo valor quando cruzadas com outras fontes.
Caso reforça importância da segurança de identidades
O incidente francês também demonstra por que empresas estão aumentando investimentos em Identity and Access Management (IAM).
Durante muitos anos, a estratégia de segurança foi concentrada principalmente na proteção do perímetro das redes.
Hoje, criminosos frequentemente tentam entrar pela porta da frente utilizando credenciais válidas.
Nesse cenário, saber quem está acessando, quais informações está consultando e se aquele comportamento é compatível com a rotina do usuário torna-se fundamental.
Uma conta autorizada que repentinamente começa a consultar milhares de registros pode indicar um comprometimento mesmo quando a autenticação foi tecnicamente válida.
O alerta também vale para organizações brasileiras
Não existem evidências de que o incidente francês tenha afetado contribuintes brasileiros ou sistemas da Receita Federal do Brasil.
Ainda assim, o episódio oferece uma referência importante para instituições nacionais.
Órgãos públicos armazenam enormes volumes de informações pessoais, fiscais e empresariais e, por isso, são alvos valiosos para grupos criminosos.
Empresas privadas enfrentam um problema semelhante.
Sistemas de ERP, CRM, recursos humanos e plataformas financeiras concentram informações suficientes para criar perfis detalhados de funcionários e clientes.
Proteger esses ambientes exige não apenas impedir invasões externas, mas controlar continuamente o uso das identidades que já possuem acesso legítimo.
O perigo continua depois que o ataque termina
O acesso indevido aos sistemas da DGFiP já foi interrompido.
O risco provocado pelo incidente, porém, pode permanecer por muito mais tempo.
Informações como endereço, renda e composição familiar não podem simplesmente ser alteradas como uma senha.
Uma vez extraídas, podem continuar circulando e sendo utilizadas em tentativas de fraude.
Para os 678 mil contribuintes e profissionais afetados, a principal ameaça pode surgir justamente nos próximos meses, por meio de mensagens, ligações ou comunicações fraudulentas construídas com informações verdadeiras.
O ataque à administração fiscal francesa reforça uma das mudanças mais importantes da cibersegurança moderna: roubar dados não serve apenas para vendê-los — serve para tornar o próximo ataque muito mais convincente.
