Dados fiscais de 678 mil roubados em França: o que ninguém lhe contou ainda

O Ministério da Economia e das Finanças francês confirmou o roubo de dados fiscais de centenas de milhares de contribuintes e empresas, num incidente que só se tornou público depois de um criminoso o ter reivindicado num fórum. As investigações conduzidas desde 12 de agosto de 2026 permitiram estabelecer que, antes de serem interrompidos, os acessos foram usados para consultar e extrair dados de um total de 678 mil particulares e profissionais, incluindo dados fiscais como o rendimento fiscal de referência, o quociente familiar ou a taxa de retenção na fonte e, no caso das empresas, elementos como a denominação social ou o SIREN. No sábado, 15 de agosto, o Ministério Público de Paris anunciou a abertura de um inquérito pela sua secção de cibercriminalidade sobre o roubo de dados no sistema de informação da administração fiscal.

O que a administração fiscal francesa confirmou

O comunicado oficial de Bercy descreve acessos ilegítimos ao sistema de informação da DGFiP ocorridos em junho e julho de 2026, apoiados na usurpação de identificadores de um agente da DGFiP e de um terceiro habilitado. A administração sublinha ainda dois pontos importantes: foram também consultados dados cadastrais relativos a endereços e áreas de imóveis; a DGFiP recorreu à CNIL logo após identificar os roubos de dados; e os espaços Finanças Públicas dos utilizadores particulares e profissionais não foram comprometidos.

Na primeira comunicação, a 13 de agosto, o ministério tinha sido bem mais contido, referindo apenas que o acesso ocorreu no final de junho de 2026, «após uma usurpação de identidade», e permitiu «a consulta e a extração de dados relativos a particulares e profissionais». A DGFiP indicou que, após a reivindicação pública, aplicou de imediato novas medidas de restrição para lhe pôr fim e prevenir novos acessos ilegítimos, mantendo investigações aprofundadas para determinar com precisão os dados e o número de utilizadores afetados, com o envolvimento do serviço do Alto Funcionário de Defesa e Segurança e da ANSSI, a agência nacional de cibersegurança francesa.

O número foi consolidado dois dias depois. A instituição anunciou na noite de sexta-feira, 14 de agosto, que 678 mil particulares e profissionais estão afetados e a diretora-geral das Finanças Públicas, Amélie Verdier, precisou que, para os particulares, os dados incluem nome e apelidos, quociente familiar, rendimento fiscal de referência e taxa de retenção na fonte. A operação foi descrita como «mais sofisticada» do que as do passado e, quanto às empresas, tratar-se-ia de dados «menos sensíveis» do que os dos particulares, como o número SIREN e o endereço da empresa e do mandatário.

Cronologia do incidente

O que diz quem reivindica o ataque

A reivindicação foi documentada pelo site especializado FrenchBreaches, que acompanha fugas de dados em França. Segundo esse registo, a fuga foi reivindicada a 12 de agosto de 2026 por um utilizador com o pseudónimo ZeroBytes, que afirma ter comprometido servidores internos, obtido um acesso VPN e chegado depois a uma ferramenta de pesquisa de informação sobre particulares e profissionais, reivindicando a extração de 678 438 linhas de dados, apresentadas como apenas uma parte da informação potencialmente acessível. A amostra divulgada conteria identificadores fiscais, nomes, datas e locais de nascimento, endereços, situação familiar, número de dependentes, rendimento fiscal de referência, taxa de retenção na fonte, números de telefone, endereços de e-mail e histórico de pedidos dirigidos à administração fiscal.

Há, no entanto, elementos que continuam por confirmar de forma independente e que devem ser lidos com cautela. A imprensa francesa alertou que os números avançados devem ser tomados com prudência, porque é frequente atacantes exagerarem a dimensão dos roubos para vender o produto mais caro ou atrair atenção. A alegação de acesso a dados de várias dezenas de milhões de contribuintes não foi confirmada pela DGFiP, que indica estar a investigar o perímetro exato da fuga. Quanto ao valor comercial, o mesmo registo especializado indica que o ficheiro estaria à venda por vários milhares de euros. A distribuição por tipo de titular e o perfil de rendimentos apontados pelo FrenchBreaches — que atribuímos expressamente a essa fonte — é a seguinte:

Estes valores correspondem à análise do FrenchBreaches sobre as 678 437 pessoas em causa e não a uma contabilidade oficial. Importa também notar que o número de linhas anunciado não corresponde necessariamente a igual número de contribuintes únicos, uma vez que vários registos podem estar associados à mesma pessoa.

O vetor não foi uma falha de software

Este é o ponto tecnicamente mais relevante para qualquer organização, pública ou privada. Não há, até agora, referência a uma vulnerabilidade com identificador CVE, a ransomware ou a malware: o comunicado do ministério nomeia o vetor em três palavras, «uma usurpação de identidade», sem apontar qualquer vulnerabilidade corrigida, cifrador ou código malicioso — o que funcionou do lado do atacante foi a obtenção de um direito de entrada legítimo e o que faltou do lado da administração foi a capacidade de distinguir esse acesso de um acesso regular. Foram usados identificadores roubados de um agente da DGFiP e de um terceiro autorizado para entrar nos sistemas e extrair dados antes de um controlo de segurança cortar o acesso, e o roubo só foi descoberto semanas mais tarde, com a reivindicação de 12 de agosto.

Não é a primeira vez. Em fevereiro de 2026, Bercy revelara acessos ilegítimos ao ficheiro nacional de contas bancárias FICOBA após a usurpação dos identificadores de um funcionário, indicando então que os dados consultados e extraídos poderiam abranger 1,2 milhões de contas. O inquérito interno apontava que esses dados haviam sido consultados e desviados a partir do final de janeiro de 2026, usando as credenciais de acesso de um funcionário do ministério. A repetição do mesmo padrão em seis meses coloca a tónica menos no perímetro e mais na gestão de identidades, na monitorização de comportamento de contas privilegiadas e na limitação do volume de consultas por utilizador.

Inquérito judicial e obrigações de notificação

As investigações, confiadas ao Office anticybercriminalité, incidem sobre «a extração fraudulenta de dados contidos num sistema de tratamento automatizado de dados pessoais implementado pelo Estado» e abrangem também a «participação em associação criminosa com vista à preparação de um delito punido com pena de prisão de pelo menos cinco anos». A DGFiP assumiu que iria notificar o incidente à CNIL, apresentar queixa e comunicar novos elementos à medida do avanço das investigações. Está prevista a contactação individual dos utilizadores afetados, por e-mail ou carta, no início da semana seguinte, para detalhar os dados potencialmente expostos e as precauções a adotar.

O intervalo temporal entre o incidente e a comunicação tornou-se, em França, tema de debate jurídico. A confirmação oficial surgiu no dia seguinte à reivindicação pública, cerca de 48 dias após a intrusão reivindicada, e o comunicado de 13 de agosto indicava que a DGFiP «notificaria» o incidente à CNIL, quando o artigo 33.º do RGPD fixa um prazo de 72 horas após o conhecimento. Estruturas sindicais da própria DGFiP notaram que foi necessária a reivindicação de 12 de agosto e a revelação na imprensa para que a administração informasse oficialmente sobre a fuga. Sublinhe-se que o cômputo das 72 horas depende do momento em que o responsável pelo tratamento toma conhecimento da violação — um ponto que só o inquérito poderá esclarecer.

Porque é que isto importa em Portugal

O caso francês é um manual prático de três lições diretamente aplicáveis a organizações portuguesas. A primeira é que a administração pública detém conjuntos de dados de valor extraordinário para fraude: rendimentos, composição do agregado, endereços e património imobiliário permitem construir mensagens de engenharia social quase indistinguíveis de comunicações legítimas. A segunda é que a credencial válida é hoje o principal vetor — autenticação multifator resistente a phishing, revisão de acessos de terceiros habilitados, deteção de exfiltração e limitação de consultas em massa valem mais do que qualquer novo appliance de perímetro. A terceira é a comunicação: quem descobre a violação através do atacante já perdeu o controlo da narrativa e do relógio regulatório.

Em Portugal, o Regime Jurídico da Cibersegurança aprovado pelo Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2, alarga significativamente o universo de entidades obrigadas a gerir riscos, registar-se junto do CNCS e notificar incidentes significativos em prazos curtos, incluindo a administração pública e setores como as finanças, a saúde, os transportes e a energia. Uma violação de dados pessoais desta natureza aciona ainda o dever de notificação à CNPD e, quando existe risco elevado, a comunicação aos titulares. Para PME, o alerta é mais prosaico: dados fiscais autênticos de clientes ou fornecedores em circulação tornam credíveis pedidos falsos de alteração de IBAN e faturas fraudulentas.

Medidas concretas de mitigação

• Desconfie de qualquer mensagem, SMS ou chamada em nome da autoridade fiscal que invoque reembolsos, dívidas urgentes ou confirmação de dados. Não existe qualquer ferramenta oficial de verificação em linha neste caso: um site ou mensagem que proponha introduzir o número fiscal para testar a exposição é muito provavelmente uma tentativa de phishing.
• Ative autenticação multifator em todos os serviços críticos e não reutilize palavras-passe entre o portal fiscal, o e-mail e a banca em linha.
• Em organizações, reveja contas de terceiros habilitados e integradores, aplique o princípio do menor privilégio e imponha rate limiting em ferramentas internas de pesquisa de dados pessoais.
• Garanta registos (logs) que provem não só o corte do acesso, mas o volume de dados consultado. A jornalização que prova o corte não prova o perímetro extraído, e é neste segundo registo que o responsável pelo tratamento fundamenta a sua notificação.
• Treine as equipas financeiras para validar alterações de dados bancários por canal independente, e reporte incidentes ao CERT.PT/CNCS.

Perguntas frequentes

O portal fiscal francês foi invadido?

Não, segundo a administração. O comunicado oficial afirma que os espaços Finanças Públicas dos utilizadores particulares e profissionais não foram comprometidos. A administração fiscal sublinhou que o portal público não foi diretamente comprometido nem serviu de vetor.

Quantas pessoas foram realmente afetadas?

A DGFiP indicou um total de 678 mil particulares e profissionais afetados até à data pela intrusão. O autor da reivindicação anunciou 678 438 linhas de dados, apresentadas como apenas parte da informação potencialmente acessível, valor que não equivale necessariamente ao mesmo número de pessoas distintas.

Que dados de particulares estão em causa?

Nome e apelidos, quociente familiar, rendimento fiscal de referência e taxa de retenção na fonte, segundo a diretora-geral das Finanças Públicas. Foram também consultados dados cadastrais relativos a endereços e áreas de imóveis.

Há consequências para contribuintes ou empresas em Portugal?

Não há qualquer indicação de que dados de contribuintes portugueses estejam envolvidos. O impacto é sobretudo de aprendizagem: reforçar a autenticação, controlar acessos de terceiros e desconfiar de contactos que invoquem a autoridade fiscal, sobretudo quando exibem dados pessoais corretos.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Ministério da Economia e das Finanças francês, pela Direção-Geral das Finanças Públicas, pelo Ministério Público de Paris e por investigadores e imprensa especializada.