Dados fiscais à venda em fórum: o que falhou no fisco francês em 48 horas

A administração fiscal francesa admitiu publicamente que o seu sistema de informação sofreu um acesso ilegítimo no final de junho de 2026, depois de um agente malicioso ter posto à venda, num fórum de cibercrime, aquilo que apresenta como uma base de dados de centenas de milhares de contribuintes. Num comunicado, a Direção-Geral das Finanças Públicas (DGFiP) confirmou que, a 12 de agosto de 2026, um ator malicioso reivindicou um acesso ilegítimo ao seu sistema de informação, ocorrido no final de junho de 2026 após uma usurpação de identidade. Menos de 48 horas depois, o mesmo pseudónimo reivindicava uma segunda intrusão, esta vez contra um serviço de dados cadastrais — uma sequência que expõe um problema estrutural: quando o atacante entra com credenciais válidas, a fronteira entre utilização legítima e exfiltração torna-se quase invisível.

O que a administração fiscal francesa confirmou — e o que não confirmou

O comunicado oficial é sóbrio e deliberadamente contido. Após a reivindicação, a DGFiP diz ter aplicado de imediato novas medidas de restrição para lhe pôr fim e prevenir novos acessos ilegítimos, mantendo investigações aprofundadas para determinar com precisão os dados e o número de utentes afetados, com as equipas de sistemas de informação a trabalhar em articulação com o serviço do Alto Funcionário de Defesa e Segurança (SHFDS) e com a agência nacional de cibersegurança francesa, a ANSSI. O organismo indica ainda que os utentes envolvidos receberão informação individual sobre os dados suscetíveis de terem sido consultados ou extraídos e as medidas de vigilância a adotar, e que notificará a autoridade de proteção de dados francesa (CNIL), apresentará queixa e divulgará novos elementos à medida do avanço das investigações.

O que fica de fora é tão relevante como o que é dito: além da distinção entre particulares e profissionais, o comunicado não enumera categorias precisas de dados nem fornece volumetria, referindo apenas que prosseguem investigações para determinar os dados e o número de utentes afetados. Ou seja, todos os números que circulam nesta fase têm origem no atacante ou em plataformas de monitorização, não na administração.

Duas reivindicações, alvos diferentes, números divergentes

A primeira reivindicação surgiu num fórum criminoso e visava o ecossistema do portal impots.gouv.fr. O acesso foi reivindicado a 12 de agosto sob o pseudónimo «ZeroBytes», segundo a plataforma FrenchBreaches, que acompanha compromissos de dados em França. O autor destacava um ficheiro de cerca de 678 mil linhas, misturando particulares e profissionais, e divulgava uma amostra de aproximadamente 1100 linhas como prova da intrusão. Segundo elementos recolhidos pela FrenchBreaches, entre as 678 437 pessoas potencialmente envolvidas, 392 867 seriam particulares e 285 570 profissionais.

Sobre o modo de operação, a narrativa do atacante aponta para abuso de acessos internos: afirma ter obtido credenciais de VPN a partir de servidores internos e usado esse acesso para chegar a uma ferramenta interna de pesquisa que cobre contribuintes particulares e empresas, começando a extrair dados antes de ser desligado, e estima em «dezenas de milhões» a população alcançável, reconhecendo que a extração nunca foi concluída. Há divergências entre relatos: a publicação The Register descreveu o anúncio como uma base com mais de dois milhões de contribuintes franceses, obtida com credenciais roubadas e uma técnica de contorno de MFA, acrescentando que o autor dizia manter acesso aos sistemas e o oferecia para venda — alegação que a DGFiP contestou.

A segunda reivindicação, ainda sem confirmação oficial, mudou de alvo. Horas depois da confirmação oficial do primeiro acesso, o mesmo pseudónimo afirmou ter comprometido um segundo serviço com dados cadastrais, numa intrusão que situa a 29 de julho de 2026 contra o domínio apexappliext.dgfip.finances.gouv.fr, associado ao Servidor Profissional de Dados Cadastrais (SPDC), anunciando a extração de 252 149 linhas. Como vários titulares podem estar ligados à mesma parcela, o ficheiro representaria no total 2 041 778 pessoas. O autor alega ter interrompido a extração por iniciativa própria, alegando que a recolha era lenta e que uma extração completa poderia levar meses.

Cronologia do incidente

Que dados estão em causa e que fraudes viabilizam

O perigo destes conjuntos não está no volume, mas na qualidade e no cruzamento. Nas amostras associadas ao conjunto cadastral aparecem nome e apelidos, sexo, data e local de nascimento, por vezes o nome de uso, o endereço do titular, o identificador predial e ainda o município, o departamento, a secção e o número de parcela. Precisamente porque são dados autoritativos, tornam-se invulgarmente eficazes em fraudes que se fazem passar pela administração fiscal, um golpe já comum em França, uma vez que quem liga pode citar detalhes que só a administração deveria possuir. Mensagens falsas em nome do fisco, de um notário, de uma câmara municipal ou de um serviço cadastral podem retomar informação exata sobre um imóvel para ganhar a confiança da vítima.

Vale a pena guardar a regra de ouro que a própria administração francesa repetiu em incidentes anteriores: «A administração fiscal nunca pede as suas credenciais de acesso nem o número do cartão bancário por mensagem». O princípio é transponível para qualquer país: nenhuma autoridade tributária legítima solicita senhas, códigos de autenticação ou dados de cartão por SMS, e-mail ou telefone.

Um padrão que se repete: credenciais válidas, não exploits

Não é o primeiro episódio deste tipo no setor público francês em 2026. Em fevereiro, foram expostos dados de cerca de 1,2 milhões de contas do FICOBA, o registo centralizado de contas bancárias em França, operado pela DGFiP. Uma pergunta parlamentar sobre o caso referia que os dados tinham sido consultados e desviados desde o final de janeiro de 2026, com recurso às credenciais de acesso de um funcionário do ministério. Poucas semanas depois, o Ministério da Saúde francês confirmou um ciberataque a um fornecedor de tecnologia de saúde no qual foram roubados cerca de 15,8 milhões de ficheiros administrativos, dos quais aproximadamente 165 mil continham notas clínicas; em abril, o Ministério do Interior confirmou relatos de um ataque à agência responsável por documentos de identidade.

O denominador comum é claro. O comunicado do ministério nomeia o vetor em três palavras — «uma usurpação de identidade» — sem referir vulnerabilidade corrigida, ransomware ou malware: do lado do atacante funcionou a obtenção de um direito de entrada legítimo e, do lado da administração, faltou a capacidade de distinguir esse acesso de um acesso regular. Como nota a análise técnica, os registos que provam o corte do acesso não provam o perímetro extraído.

Porque é que isto importa a quem está em Portugal

Nenhuma indicação pública aponta para impacto direto em contribuintes portugueses, mas o caso é um manual de riscos aplicável a qualquer organização nacional. Primeiro, no plano da privacidade: o RGPD obriga o responsável pelo tratamento a notificar a autoridade de controlo — em Portugal, a CNPD — no prazo de 72 horas após conhecimento de uma violação de dados pessoais que apresente risco, e a comunicar às pessoas afetadas quando o risco for elevado. É exatamente esse o trilho seguido pela administração francesa, que anunciou notificação à CNIL e informação individual aos utentes.

Segundo, no plano da cibersegurança: com o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), as entidades abrangidas em Portugal — incluindo administração pública e muitas médias empresas em setores críticos — passam a ter deveres de gestão de risco, controlo de acessos, autenticação multifator e notificação de incidentes significativos ao CNCS/CERT.PT. Um incidente iniciado por credenciais legítimas de um utilizador interno é precisamente o cenário que estas obrigações visam mitigar, e a resposta francesa — restrição imediata de acessos, articulação com a autoridade nacional de cibersegurança, queixa e notificação ao regulador de dados — é o modelo que qualquer entidade portuguesa deve ter ensaiado antes de precisar dele.

Medidas práticas que qualquer PME ou organismo público pode aplicar esta semana:

• Inventariar acessos remotos e VPN, eliminar contas órfãs e impor MFA resistente a phishing (chaves FIDO2 ou passkeys) em todos os acessos privilegiados.
• Limitar consultas em massa em ferramentas internas de pesquisa de clientes ou contribuintes, com limites de taxa (rate limiting) e alertas automáticos para volumetria anómala.
• Garantir retenção suficiente dos registos de auditoria, para que seja possível reconstituir o perímetro efetivamente extraído, e não apenas o momento do corte.
• Preparar e testar o processo de notificação à CNPD e ao CNCS/CERT.PT, com responsáveis nomeados e modelos de comunicação prontos.
• Reforçar a formação contra engenharia social com um aviso concreto: dados reais numa mensagem não são prova de legitimidade.

Perguntas frequentes

Quantas pessoas foram realmente afetadas na fuga da DGFiP?

Não existe número oficial. A DGFiP indica que prosseguem investigações aprofundadas para determinar com precisão os dados e o número de utentes afetados. Os valores de 678 438 linhas ou de mais de dois milhões de pessoas são reivindicações do atacante, divulgadas por plataformas de monitorização, e não foram validados pela administração.

Contribuintes portugueses podem estar envolvidos?

Não há qualquer indicação pública nesse sentido. O universo em causa são utentes da administração fiscal francesa, particulares e empresas. Quem tenha obrigações fiscais em França — por exemplo por rendimentos ou imóveis — deve acompanhar as comunicações oficiais francesas, já que a administração anunciou informação individual aos utentes afetados.

Que sinais de fraude devo vigiar após uma fuga de dados fiscais?

Mensagens, SMS ou chamadas que invocam reembolsos, dívidas urgentes ou regularizações e que citam dados corretos sobre a sua identidade, endereço ou património. Nunca introduza credenciais a partir de links recebidos: escreva sempre o endereço do portal fiscal manualmente no navegador e ative a autenticação em dois passos onde estiver disponível.

Que lições operacionais retiram as organizações portuguesas deste caso?

Que a maioria destes incidentes não depende de vulnerabilidades sofisticadas, mas de acessos legítimos abusados. Isso exige MFA robusto, segmentação, limites a consultas em massa, deteção de comportamento anómalo em contas internas e registos de auditoria com retenção adequada para determinar o que foi efetivamente extraído.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Ministério da Economia e das Finanças francês/DGFiP, por plataformas de monitorização de fugas de dados e por publicações especializadas de cibersegurança.