O que a DGFiP realmente perdeu
A intrusão na Direção Geral das Finanças Públicas francesa começou a 26 de junho de 2026, quando um atacante usou credenciais roubadas pertencentes a um funcionário da DGFiP e a um terceiro autorizado distinto para aceder aos sistemas do organismo. Os controlos internos cortaram esse acesso antes do final de junho, e o comunicado oficial do Ministério das Finanças estima os dados expostos em cerca de 678 mil particulares e empresas - próximo das 678.438 linhas que o próprio atacante reivindicou depois. Para os contribuintes particulares, os campos expostos são o nome completo, a classificação do quociente familiar, o rendimento coletável de referência e a taxa de retenção na fonte; para as empresas, o número de registo SIREN, a morada da empresa e a morada do representante autorizado.
A DGFiP declarou que nenhuma conta segura de contribuinte no portal impots.gouv.fr foi comprometida, pelo que os dados por si só não dão a ninguém acesso às declarações fiscais ativas. Mas o próprio organismo descreveu a intrusão como mais sofisticada do que qualquer coisa que tivesse enfrentado antes, e os campos expostos - nível de rendimento, taxa de imposto, situação familiar, registo de empresa e dados de morada - são exatamente o tipo de pormenor que torna crível uma chamada de phishing ou um email fraudulento subsequente.
Quarenta e oito dias entre o corte de acesso e a divulgação pública
O calendário que importa aqui não é a intrusão em si, mas o silêncio que se seguiu. A DGFiP cortou o acesso do atacante no final de junho, e a violação permaneceu por anunciar até 12 de agosto, quando o atacante publicou a sua própria reivindicação do roubo de dados. Só no dia seguinte, 13 de agosto, o Ministério das Finanças emitiu um comunicado oficial a confirmar a intrusão, declarando que a DGFiP notificaria a CNIL, a autoridade francesa de proteção de dados, e apresentaria queixa-crime junto do Ministério Público de Paris, que entretanto abriu uma investigação com a participação da OFAC, a unidade nacional de combate à cibercriminalidade.
Esse intervalo de 48 dias é legal à luz da letra do RGPD: o prazo de 72 horas do regulamento aplica-se apenas à notificação à autoridade de controlo, e não à notificação das pessoas afetadas, às quais só é devida uma divulgação 'sem demora injustificada' quando uma violação apresenta um risco elevado - um critério sem um número fixo associado. O ministro dos Assuntos Públicos, David Amiel, pediu entretanto à DGFiP que notificasse diretamente os contribuintes afetados e propusesse procedimentos de segurança reforçados, mas esse pedido chegou depois de a própria publicação do atacante ter forçado a mão do organismo, e não antes.
A coima que não se aplica a quem devia pagá-la
Eis a assimetria que um operador do setor privado devia considerar: segundo a lei francesa que transpõe o RGPD, uma empresa que tivesse gerido uma violação como a DGFiP fez - credenciais de terceiros comprometidas, semanas de silêncio, divulgação só depois de o atacante a tornar pública - poderia enfrentar coimas da CNIL de até 10 milhões de euros ou 2 por cento do volume de negócios anual global por não notificar as pessoas afetadas sem demora injustificada. A mesma legislação exclui explicitamente os 'tratamentos efetuados pelo Estado' dessas sanções administrativas. O mecanismo que deveria transformar a divulgação rápida numa questão de interesse financeiro próprio para todas as empresas que a DGFiP regula simplesmente não existe para a própria DGFiP.
Um sindicato do setor público colocou exatamente esta questão assim que a violação se tornou pública: sem a própria revelação do atacante, quando e como teriam os contribuintes e as empresas afetadas alguma vez sabido o que tinha acontecido. Não é uma hipótese para as cerca de 678 mil pessoas e empresas que agora detêm uma informação que não tinham há dois meses - e é uma lição direta de governação para qualquer proprietário que presuma que os incentivos de uma contraparte governamental no tratamento de dados espelham os que a regulamentação impõe à sua própria empresa. Não espelham, e a lacuna só se fecha quando o atacante decide falar. Qualquer empresa cujo número SIREN e morada registada estivessem nesta exposição deve tratar as próximas semanas como uma janela ativa de risco de usurpação de identidade, e não como um incidente encerrado, independentemente do tempo que a própria DGFiP demorou a dizê-lo.
Leia a seguir: A falha da Beacon não cabe em nenhuma rede de proteção | Falha na CEVA afeta compradores de Steam na Europa
