Lo que realmente perdió la DGFiP

La intrusión en la Direction Generale des Finances Publiques de Francia comenzó el 26 de junio de 2026, cuando un atacante utilizó credenciales robadas pertenecientes a un empleado de la DGFiP y a un tercero autorizado independiente para acceder a los sistemas del organismo. Los controles internos cortaron ese acceso antes de finales de junio, y el comunicado oficial del Ministerio de Finanzas cifra los datos expuestos en aproximadamente 678.000 personas y empresas - cerca de las 678.438 líneas que el propio atacante reclamó después. Para los contribuyentes particulares, los campos expuestos son el nombre completo, la clasificación del cociente familiar, la renta fiscal de referencia y la tasa de retención en origen; para las empresas, el número de registro SIREN, la dirección de la empresa y la dirección del representante autorizado.

La DGFiP ha declarado que no se comprometió ninguna cuenta segura de contribuyente en el portal impots.gouv.fr, por lo que los datos no otorgan por sí solos acceso a las declaraciones fiscales activas de nadie. Pero el propio organismo describió la intrusión como más sofisticada que cualquier cosa que hubiera enfrentado antes, y los campos expuestos - nivel de ingresos, tasa impositiva, situación familiar, registro de empresa y datos de dirección - son exactamente el tipo de detalle que hace convincente una llamada de phishing o un correo fraudulento posterior.

Cuarenta y ocho días entre el corte de acceso y la divulgación pública

El calendario que importa aquí no es la intrusión en sí, sino el silencio posterior. La DGFiP cortó el acceso del atacante a finales de junio, y la brecha permaneció sin anunciar hasta el 12 de agosto, cuando el atacante publicó su propia reclamación del robo de datos. Solo al día siguiente, el 13 de agosto, el Ministerio de Finanzas emitió un comunicado oficial confirmando la intrusión, declarando que la DGFiP notificaría a la CNIL, la autoridad francesa de protección de datos, y presentaría una denuncia penal ante la fiscalía de París, que desde entonces ha abierto una investigación con la participación de OFAC, la unidad nacional de ciberdelincuencia.

Esa brecha de 48 días es legal según la letra del RGPD: el plazo de 72 horas del reglamento se aplica solo a la notificación a la autoridad de control, no a la notificación a las personas afectadas, a quienes solo se debe una divulgación 'sin dilación indebida' cuando una brecha presenta un alto riesgo - un estándar sin un número fijo asociado. El ministro de Cuentas Públicas, David Amiel, pidió después a la DGFiP que notificara directamente a los contribuyentes afectados y propusiera procedimientos de seguridad reforzados, pero esa petición llegó después de que la propia publicación del atacante forzara la mano del organismo, no antes.

La multa que no se aplica a quien debería pagarla

Aquí está la asimetría con la que debería quedarse un operador del sector privado: según la ley francesa que aplica el RGPD, una empresa que gestionara una brecha como lo hizo la DGFiP - credenciales de terceros comprometidas, semanas de silencio, divulgación solo después de que el atacante lo hiciera público - podría enfrentar multas de la CNIL de hasta 10 millones de euros o el 2 por ciento de la facturación anual global por no notificar a las personas afectadas sin dilación indebida. La misma legislación excluye explícitamente los 'tratamientos realizados por el Estado' de esas sanciones administrativas. El mecanismo que se supone debe convertir la divulgación rápida en una cuestión de interés financiero propio para cada empresa que regula la DGFiP simplemente no existe para la propia DGFiP.

Un sindicato del sector público planteó exactamente esta pregunta en cuanto la brecha se hizo pública: sin la propia divulgación del atacante, cuándo y cómo habrían llegado a saber los contribuyentes y empresas afectados lo que había ocurrido. Eso no es una hipótesis para las aproximadamente 678.000 personas y empresas que ahora tienen en circulación una información que no tenían hace dos meses - y es una lección directa de gobernanza para cualquier propietario que asuma que los incentivos de una contraparte gubernamental en el manejo de datos reflejan los que la regulación impone a su propia empresa. No lo hacen, y la brecha solo se cierra cuando el atacante decide hablar. Cualquier empresa cuyo número SIREN y domicilio registrado formaran parte de esta exposición debería tratar las próximas semanas como una ventana activa de riesgo de suplantación de identidad, no como un incidente cerrado, sin importar cuánto tardó la propia DGFiP en decirlo.

Leer a continuación: La brecha de Beacon queda fuera de cualquier red de seguridad  |  Brecha en CEVA Logistics afecta a compradores de Steam