Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración editorial de una sesión persistente entre portales tributarios.

Síntesis y análisis propios a partir de la cobertura de The Hacker News; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

Según The Hacker News, el informe de ANSSI atribuye a credenciales de empleados robadas la extracción de datos de E-Contact, una herramienta de mensajes de la administración tributaria francesa, DGFIP.

DGFIP informó de datos relativos a algo más de 350.000 personas y 250.000 empresas; las cuentas y contraseñas en línea de los contribuyentes no fueron comprometidas, según la cobertura.

ANSSI señaló que los portales PIGP y ADER pedían solo contraseña y que el atacante llegó a la red interministerial desde sistemas comprometidos del Ministerio de Educación.

El 24 de junio se restableció una contraseña asociada a una alerta, pero esa medida no cerró la sesión que el atacante mantenía en ADER, por lo que la extracción continuó casi 16 horas más.

El equipo de seguridad de DGFIP no supervisaba ADER y no se generaron alertas por el volumen de datos ni por la cantidad de solicitudes, según el relato del informe.

El atacante reivindicó el robo el 12 de agosto, siete semanas después de la primera extracción, y esa reivindicación hizo visible el incidente.

Análisis de Defensops

El incidente destaca una brecha entre la respuesta a una credencial comprometida y el estado real de las sesiones en todas las aplicaciones. Restablecer la contraseña cerró un camino de entrada, pero dejó operativo otro acceso ya autenticado. La corrección exige que la revocación de sesiones sea común a los portales relacionados y que la investigación retrospectiva cubra lo que hizo la cuenta antes del aviso.

También falló la correlación entre señales débiles: conexiones desde rutas inusuales, consultas fuera de horario y volumen elevado. Cada señal aislada puede tener explicaciones legítimas, pero la falta de registros de ADER y de métricas de uso impidió ver la extracción automatizada como conjunto. Una cuenta sin privilegios especiales alcanzó muchos registros, de modo que los límites de lectura por cuenta y periodo son parte del control de alcance.

The Hacker News sintetiza un informe de ANSSI y datos de DGFIP; no constituye una verificación independiente de Defensops. El mismo artículo describe otra ruta hacia datos catastrales mediante APEX, que requiere una investigación diferenciada. ANSSI indicó que una auditoría más amplia seguía prevista, por lo que la revisión actual no agota todas las debilidades posibles.

Prioridades de revisión

Comprobar que un restablecimiento por sospecha de compromiso revoque todas las sesiones activas de la cuenta en cada aplicación y portal conectado; probar el comportamiento con una sesión abierta de ensayo.

Aplicar MFA a los accesos administrativos y de negocio expuestos; verificar que el segundo factor no dependa de un buzón protegido únicamente por la misma contraseña.

Incorporar registros de autenticación, sesiones y consultas de todas las aplicaciones críticas a una vista común, y ensayar la correlación de accesos nocturnos, redes inusuales y extracción repetitiva.

Definir umbrales de registros consultados, solicitudes y volumen transferido por cuenta y periodo; comprobar si alertan ante una extracción automatizada sin bloquear operaciones legítimas.

Al detectar credenciales robadas, revisar retrospectivamente la actividad desde la fecha probable de compromiso y restringir el acceso desde equipos personales no administrados.

Qué no se ha confirmado

ANSSI indicó que una auditoría más amplia estaba pendiente para identificar todas las debilidades explotables.

La cobertura señala que no se evaluó en ese informe la gestión de derechos de usuario, pese al amplio acceso de cuentas sin privilegios especiales.

El alcance preciso de los mensajes leídos o copiados es menor que el total de registros afectados y se presenta como posible en la fuente.

Fuente

The Hacker News. Fecha indicada: 2026-09-29.