Autoridade fiscal francesa confirma roubo de dados; hacker alega ter informações de 2 milhões de contribuintes

A Direção-Geral de Finanças Públicas da França (DGFiP) confirmou que um invasor acessou seus sistemas e extraiu dados no fim de junho de 2026. A admissão ocorreu após um suposto cibercriminoso anunciar em um fórum hacker um banco de dados que, segundo ele, contém informações de mais de 2 milhões de contribuintes franceses.

Usando o pseudônimo "ZeroBytes", o responsável pela publicação afirmou ter obtido acesso à infraestrutura da DGFiP por meio de credenciais roubadas e de uma técnica para contornar a autenticação multifator (MFA). O banco de dados supostamente roubado foi colocado à venda na quarta-feira.

O invasor também alegou continuar com acesso aos sistemas da autoridade fiscal e ofereceu a possibilidade de vendê-lo junto com os dados. A DGFiP, porém, contestou essa afirmação e informou que o acesso não autorizado havia sido interrompido ainda no fim de junho.

Segundo o órgão, o incidente ocorreu após um caso de roubo de identidade. Uma auditoria realizada naquele período levou à interrupção do acesso, mas as investigações iniciais confirmaram que, antes do bloqueio, o invasor conseguiu consultar e extrair informações relacionadas a pessoas físicas e profissionais.

Após identificar o comprometimento, a DGFiP implementou novas restrições para impedir novos acessos e usos não autorizados. A investigação continua para determinar exatamente quais informações foram comprometidas e quantos usuários foram afetados. Portanto, a alegação de que 2 milhões de contribuintes tiveram seus dados roubados ainda não foi confirmada pelas autoridades.

A DGFiP também informou que comunicará o incidente à Comissão Nacional de Informática e Liberdades (CNIL), autoridade francesa de proteção de dados, e notificará as pessoas afetadas assim que a investigação identificar o alcance do vazamento.

O caso amplia uma sequência de incidentes de segurança envolvendo órgãos e serviços públicos franceses em 2026. Em fevereiro, o Ministério da Economia e Finanças, responsável pela DGFiP, confirmou que invasores usaram credenciais roubadas para acessar um banco de dados com informações bancárias de cidadãos franceses. Cerca de 1,2 milhão de registros foram extraídos antes da revogação do acesso.

Poucas semanas depois, o Ministério da Saúde confirmou um ataque contra a fornecedora de tecnologia Cegedim Santé, no qual aproximadamente 15,8 milhões de arquivos administrativos foram roubados. Cerca de 165 mil continham anotações médicas que, em um número considerado muito limitado de casos, revelavam históricos de saúde.

Em abril, o Ministério do Interior também confirmou um ataque contra a France Titres, agência responsável por documentos de identidade, incluindo passaportes e carteiras de motorista. O suposto responsável, apontado como um adolescente de 15 anos, afirmou que o incidente teria afetado entre 18 milhões e 19 milhões de pessoas. O número divulgado pelo invasor não representa, por si só, uma confirmação oficial da extensão do comprometimento.

Já em junho, o departamento responsável pelo Tchap, plataforma de mensagens criptografadas utilizada pelo governo francês, investigou uma possível violação. Os supostos invasores alegaram ter acessado mais de 73 mil contas, 643 mil mensagens, quase 60 mil arquivos de mídia e centenas de salas de conversa.