A administração fiscal francesa confirmou o roubo de dados relativos a 678 mil particulares e empresas. O incidente atingiu sistemas da Direção-Geral das Finanças Públicas de França, conhecida pela sigla DGFiP, e expôs informação fiscal e cadastral que pode tornar futuras tentativas de fraude muito mais convincentes.
Segundo o Ministério da Economia e das Finanças francês, foram consultados ou extraídos dados como rendimento fiscal de referência, quociente familiar, taxa de retenção na fonte, moradas e áreas de imóveis. No caso das empresas, também ficaram expostos elementos como a denominação social e o número SIREN.
O que foi roubado e o que ficou protegido
A DGFiP esclarece que as áreas pessoais e profissionais do portal das Finanças Públicas não foram comprometidas. Os identificadores e as palavras-passe dos contribuintes também não foram roubados. Esta distinção é importante: o incidente não significa, por si só, que o atacante consiga entrar na conta fiscal de uma pessoa.
Ainda assim, a informação exposta é sensível. Dados sobre rendimentos, composição do agregado familiar, imóveis e contactos podem ser combinados para criar mensagens falsas com um nível de detalhe invulgar. Um burlão pode, por exemplo, fazer referência a uma taxa fiscal, morada ou situação familiar real para dar credibilidade a um pedido de pagamento ou a uma página de autenticação falsa.
Como aconteceu a intrusão
As autoridades francesas indicam que os acessos ilegítimos ocorreram no final de junho. As contas utilizadas foram bloqueadas quando a atividade foi detetada, mas os controlos feitos nessa altura não mostraram que já tinha existido extração de dados. A dimensão do roubo só foi estabelecida após novas investigações iniciadas a 12 de agosto.
A DGFiP afirma que reforçou as medidas de segurança e interrompeu preventivamente o acesso a sistemas sensíveis. A investigação prossegue com apoio dos serviços de segurança do Ministério e da agência francesa de cibersegurança, a ANSSI. A autoridade de proteção de dados, a CNIL, também foi notificada, e a administração fiscal anunciou que apresentará queixa.
O que devem fazer as pessoas afetadas
A DGFiP vai contactar diretamente cada pessoa ou empresa afetada por correio eletrónico ou carta. A comunicação deverá indicar que dados podem ter sido consultados ou extraídos e quais os cuidados recomendados. Quem não receber essa notificação não deve concluir automaticamente que está incluído na fuga apenas porque viu uma mensagem alarmista nas redes sociais.
Para reduzir o risco, é prudente desconfiar de contactos inesperados que usem informação fiscal para criar urgência. Não se deve abrir ligações recebidas por SMS ou email para pagar impostos, atualizar dados ou confirmar uma conta. O caminho mais seguro é escrever manualmente o endereço oficial no navegador ou usar a aplicação habitual.
Também é importante nunca fornecer códigos de autenticação, dados bancários ou cópias de documentos em resposta a uma chamada. Se uma mensagem parecer legítima, vale a pena confirmar o pedido através de um contacto oficial obtido de forma independente. A mudança imediata da palavra-passe não foi recomendada como consequência direta deste incidente, porque as credenciais dos contribuintes não foram comprometidas. Mesmo assim, reutilizar palavras-passe entre serviços continua a ser um risco e deve ser evitado.
Porque o caso interessa fora de França
O ataque diz respeito à administração fiscal francesa, mas ilustra um risco aplicável a qualquer país: uma fuga de dados públicos pode alimentar fraudes dirigidas, mesmo sem expor palavras-passe ou números de cartões. Quanto mais contexto real uma mensagem inclui, mais fácil é confundi-la com uma comunicação oficial.
Em Portugal, a regra prática mantém-se: comunicações sobre impostos devem ser confirmadas nos canais oficiais da Autoridade Tributária. A presença de dados verdadeiros numa mensagem não prova que o remetente é legítimo.
Fontes: Ministério da Economia e Finanças de França · Reuters · BleepingComputer