El robo de datos fiscales en Francia, mediante el uso de contraseñas robadas a los empleados, pasó desapercibido durante siete semanas.

Un atacante utilizó contraseñas robadas de empleados de la administración tributaria francesa para sustraer datos fiscales de cientos de miles de contribuyentes y empresas durante junio y julio.

Ni la administración tributaria ni la agencia nacional de ciberseguridad francesa detectaron la fuga de datos. El ataque no fue sofisticado, según un informe (en francés) publicado el martes por la agencia (ANSSI): funcionó debido a la debilidad de la protección de acceso, la escasa separación de las redes y las deficiencias en la monitorización.

La administración tributaria, conocida como DGFIP, gestiona el sitio web tributario francés, impots.gouv.fr. Los datos procedían de E-Contact, la herramienta que utilizan los contribuyentes para comunicarse con la administración tributaria.

Los datos robados corresponden a algo más de 350.000 personas físicas y algo más de 250.000 empresas, según la DGFIP. Las cuentas y contraseñas en línea de los contribuyentes no se vieron comprometidas.

En el caso de las personas físicas, los datos que podrían haber sido consultados o copiados incluyen su número de identificación fiscal, información de contacto, situación familiar, renta imponible de referencia y tipo de retención fiscal, además de una lista de los mensajes intercambiados con la DGFIP. Para menos de 250 personas, también podrían haber sido sustraídos los propios mensajes.

En el caso de las empresas, se incluye el nombre de la empresa, el número de registro SIREN, la dirección y los datos básicos de sus mensajes. Para menos de 2076 empresas, podría haber sido consultado el contenido de dichos mensajes.