France's Tax Hack Exposed Income Data of at Least 1 Million People — Workers and Benefit Recipients Most at Risk
Two cyberattacks in June and July exposed the tax records of at least 1 million people registered with France's DGFiP.
Zerobytes Breaches French Tax System Twice in Two Months, Exposing 1 Million Accounts and State Security Failures
Zerobytes breached France's DGFiP tax system twice between June and July, exposing at least 1 million accounts.
A pair of cyberattacks on the French tax authority between June and July left the financial details of at least 1 million people exposed, with workers, self-employed contractors, freelancers and families dependent on state aid facing the most immediate risk from what was stolen.
--- THE CONTEXT ---
France's General Directorate of Public Finance, the DGFiP, announced on Friday that two separate intrusions had occurred in its computer systems. Zerobytes, a group previously linked to hacks of French government computers, claimed responsibility on a dark-web forum, stating it had gained access through a VPN used by tax officials.
--- THE FACTS ---
The first attack, in June, compromised the records of at least 678,000 people registered on the French tax portal. The second, in July, targeted the professional land-registry server known as the SPDC and exposed an additional 200,000 accounts. Together, roughly one in five accounts in the system was breached. Stolen data includes full names, household tax quotient, the revenu fiscal de référence — the income figure used to determine eligibility for government financial aid — and the withholding tax rate. For businesses, the SIREN registration number, address and named tax representative were also taken. Passwords do not appear to have been compromised, according to the authorities. Prime Minister Sébastien Lecornu will chair an emergency meeting on Monday.
--- THE POSITIONS ---
The Finance Ministry said affected individuals will be notified by email or through an alert in their tax account at the start of the week. The tax authorities pledged additional guidance in coming days on what people should do. Zerobytes made no further public statements beyond claiming the attacks.
--- WHAT REMAINS UNKNOWN ---
The exact technical flaw in the VPN has not been disclosed, nor whether it was patched before the second attack occurred. The tax authorities have not published a complete list of what data categories were accessed or whether any data has already been sold or shared.
--- UNANSWERED QUESTIONS ---
• Why did a second successful attack occur weeks after the first, suggesting the initial breach was not fully contained?
• How many of the 678,000 individuals affected receive state benefits calculated using the leaked revenu fiscal de référence?
• Have the stolen records already been distributed or sold on dark-web marketplaces?
• What recourse do affected people have if the leaked data is used against them in phishing or benefit fraud?
--- EPM ANALYSIS ---
The revenu fiscal de référence is not a neutral data point: it is the number that opens or closes the door to housing aid, scholarship eligibility and social support. Its theft creates a precise toolkit for social-engineering attacks aimed at people who are already financially exposed. That the second attack followed the first within weeks raises a concrete question about whether affected communities were warned early enough to protect themselves. 📌
📌 EPM Take:
In EPM's view, the most dangerous element of this breach is not the scale but the specificity. Knowing someone's taxable household income, their benefit-eligibility threshold and their tax rate is enough to craft a convincing, personalised fraud against people who have little margin for financial error. EPM has previously covered France's public infrastructure under stress; this episode adds the digital layer to that pattern. Institutional accountability must be proportionate to the harm that a mandatory data submission system can inflict when it fails.
A cybercriminal group called Zerobytes penetrated the French tax authority's systems not once but twice between June and July, extracting records from at least 1 million accounts and raising serious questions about the institutional capacity of France's digital state to protect the data it compels citizens to submit.
--- THE CONTEXT ---
France's General Directorate of Public Finance, the DGFiP, publicly confirmed on Friday that two separate cyberattacks had occurred. Zerobytes, which has a documented history of targeting French government computer systems, claimed both intrusions on a dark-web forum and stated that access was obtained through a VPN used by tax officials — a significant point of institutional failure.
--- THE FACTS ---
The first hack, in June, took data from at least 678,000 accounts on the national tax portal. The second, in July, targeted the professional land-registry server, the SPDC, compromising 200,000 further accounts. Combined, roughly one fifth of all accounts in the system were exposed. The stolen data includes full names, the household tax quotient, the revenu fiscal de référence — the income benchmark used by the state to assess entitlement to public financial support — and individual withholding tax rates. Business records yielded SIREN registration numbers, business addresses and named tax representatives. Authorities stated that passwords were not taken. Prime Minister Sébastien Lecornu called an emergency meeting for Monday in response.
--- THE POSITIONS ---
The Finance Ministry announced that affected account holders will be notified at the start of the week. The DGFiP indicated that fuller guidance on protective steps would follow in coming days. Zerobytes issued no statement beyond claiming the attacks on the dark-web forum.
--- WHAT REMAINS UNKNOWN ---
The precise technical vector of the VPN breach has not been made public. It is not known whether the vulnerability was closed before the second attack took place, nor which law-enforcement or intelligence agencies are involved in the investigation.
--- UNANSWERED QUESTIONS ---
• What institutional accountability mechanism applies when a mandatory state data system is breached twice within weeks?
• Were the SPDC land-registry records targeted because of their commercial or strategic value to a third-party actor?
• Has any government body confirmed whether the stolen data has been traded or published on criminal marketplaces?
• What security audit, if any, was conducted on the DGFiP's VPN infrastructure between the June and July attacks?
--- EPM ANALYSIS ---
Two successful intrusions on the same government system within weeks is not an isolated incident; it is evidence of a systemic security posture that failed under sustained pressure. The land-registry data is particularly sensitive from an institutional standpoint: it maps property ownership, business identities and fiscal responsibility chains. A state that mandates data disclosure but cannot guarantee its protection damages the foundational trust on which tax compliance and civic order depend. 📌
📌 EPM Take:
In EPM's view, the French state faces a credibility problem that emergency meetings alone cannot resolve. France requires every resident and business to submit sensitive financial data under legal obligation, then suffers a double breach of the same infrastructure in consecutive months. EPM has documented fragility across French public systems; what this episode adds is proof that the vulnerability is not confined to physical infrastructure. Accountability must match the coercive power the state exercised in collecting the data it failed to protect.
El fisco francés filtró datos de al menos 1 millón de personas: quiénes están expuestos y qué hacer
Dos ciberataques en junio y julio comprometieron datos de al menos 1 millón de personas en el sistema fiscal francés. Zerobytes reclamó la autoría.
Brecha en el fisco francés: Zerobytes accedió a datos de 1 millón de contribuyentes y expone la fragilidad del Estado digital
Zerobytes atacó dos veces el sistema fiscal francés entre junio y julio, comprometiendo datos de al menos 1 millón de contribuyentes.
Dos ataques en junio y julio dejaron al descubierto los datos fiscales de al menos 1 millón de personas registradas en el sistema de impuestos francés, una brecha que toca de cerca a trabajadores, arrendatarios, autónomos y familias que dependen de ayudas públicas calculadas con esos mismos datos.
--- EL CONTEXTO ---
La Dirección General de Finanzas Públicas (DGFiP) anunció el viernes la existencia de dos intrusiones separadas en sus sistemas informáticos. El grupo Zerobytes, vinculado a ataques anteriores contra organismos gubernamentales franceses, reclamó la autoría en un foro de la web oscura y aseguró haber tenido acceso a una VPN utilizada por funcionarios fiscales.
--- LOS HECHOS ---
El primer ataque, en junio, comprometió los datos de al menos 678.000 personas registradas en el portal tributario. El segundo, en julio, afectó al Servidor Profesional de Datos Catastrales (SPDC) y expuso 200.000 cuentas adicionales. En total, aproximadamente una quinta parte del total de cuentas del sistema fue vulnerada. La información robada incluye nombre completo, cociente familiar, renta fiscal de referencia —la cifra que determina el acceso a ayudas del Estado— y tasa de retención en la fuente. Para empresas se filtraron el número SIREN, la dirección y el nombre del responsable fiscal. Las contraseñas no habrían sido comprometidas según las autoridades.
--- LAS POSICIONES ---
El Ministerio de Finanzas informó que los afectados recibirán un aviso por correo electrónico o mediante una alerta en su cuenta fiscal «a principios de semana». El primer ministro Sébastien Lecornu presidirá una reunión de urgencia el lunes. Zerobytes no ofreció declaraciones públicas más allá de reclamar el ataque.
--- LO QUE FALTA SABER ---
Las autoridades fiscales prometieron más detalles «en los próximos días» sobre el alcance exacto de lo robado y las medidas de protección recomendadas. No se ha publicado la naturaleza del fallo en la VPN ni si existen vulnerabilidades aún abiertas.
--- PREGUNTAS SIN RESPUESTA ---
• ¿Qué fallo técnico específico en la VPN permitió el acceso a los sistemas de la DGFiP?
• ¿Cuántas de las personas afectadas son beneficiarias de ayudas sociales calculadas con la renta fiscal de referencia filtrada?
• ¿Se ha contenido completamente la brecha o persisten accesos no autorizados al sistema?
• ¿Qué medidas de auditoría aplicó la DGFiP entre el primer y el segundo ataque?
--- ANÁLISIS EPM ---
La renta fiscal de referencia es el dato más sensible políticamente: es la cifra que el Estado usa para conceder o denegar subsidios, bonificaciones y becas. Su filtración no es solo un problema de privacidad; es una palanca de manipulación para quienes construyan ataques de ingeniería social dirigidos a familias vulnerables. El hecho de que el segundo ataque ocurriera semanas después del primero plantea dudas graves sobre la efectividad de la respuesta institucional inicial. 📌
📌 Conclusion EPM:
A juicio de EPM, el dato más alarmante no es el volumen de cuentas comprometidas sino la calidad de la información robada. La renta fiscal de referencia y el cociente familiar permiten construir perfiles de fraude dirigidos con precisión quirúrgica hacia personas que ya dependen de prestaciones estatales. EPM ha cubierto cómo las infraestructuras públicas francesas muestran signos de fragilidad sistémica, desde el agua potable hasta el fisco. Este patrón exige una conversación honesta sobre inversión en ciberseguridad pública, no solo gestión de crisis.
Un grupo ciberdelictivo identificado como Zerobytes penetró dos veces en los sistemas de la Dirección General de Finanzas Públicas francesa entre junio y julio, comprometiendo datos de al menos 1 millón de contribuyentes y poniendo en evidencia vulnerabilidades estructurales en la administración digital del Estado.
--- EL CONTEXTO ---
La DGFiP anunció el viernes los ataques. Zerobytes, con antecedentes en intrusiones contra organismos gubernamentales franceses, reivindicó la autoría en un foro de la web oscura. El grupo afirma haber accedido a través de una VPN utilizada por funcionarios fiscales, lo que indica una brecha en el perímetro de seguridad institucional.
--- LOS HECHOS ---
El primer ataque de junio afectó al menos 678.000 cuentas del portal tributario. El segundo, en julio, comprometió 200.000 cuentas del Servidor Profesional de Datos Catastrales (SPDC). En conjunto, aproximadamente una quinta parte de la totalidad de cuentas registradas quedó expuesta. Los datos sustraídos incluyen nombre completo, cociente familiar, renta fiscal de referencia y tasa de retención. Para empresas se filtraron número SIREN, domicilio fiscal y nombre del responsable. Las contraseñas, según las autoridades, no fueron comprometidas. El primer ministro Sébastien Lecornu convocó una reunión de emergencia para el lunes.
--- LAS POSICIONES ---
El Ministerio de Finanzas comunicó que los afectados serán notificados a principios de semana por correo electrónico o alerta en cuenta. Las autoridades fiscales anunciaron que ofrecerán más información «en los próximos días». Zerobytes no emitió declaraciones adicionales más allá de reclamar los ataques.
--- LO QUE FALTA SABER ---
No se conoce el vector técnico exacto de la vulnerabilidad en la VPN ni si fue parcheado tras el primer ataque. Tampoco se ha informado si existen investigaciones penales en curso ni qué organismos de inteligencia están involucrados en la respuesta.
--- PREGUNTAS SIN RESPUESTA ---
• ¿Por qué no se detectó el segundo ataque en julio si el primero fue identificado en junio?
• ¿Qué marcos normativos de ciberseguridad estatal rigen actualmente la protección de los sistemas de la DGFiP?
• ¿Están los datos robados ya disponibles para compra en foros de la web oscura?
• ¿Qué responsabilidad institucional asume la DGFiP por no haber cerrado la brecha entre el primer y el segundo ataque?
--- ANÁLISIS EPM ---
Que Zerobytes haya actuado dos veces en un plazo de semanas sobre el mismo sistema revela una falla de respuesta institucional, no solo un incidente aislado. Los datos del registro catastral son especialmente sensibles para el orden económico: identifican propiedades, propietarios y responsables fiscales de negocios. La pregunta sobre el Estado como custodio confiable de datos ciudadanos ya no es retórica; es urgente. 📌
📌 Conclusion EPM:
A juicio de EPM, dos ataques consecutivos al mismo sistema gubernamental en cuestión de semanas no son un accidente; son la consecuencia de una arquitectura de seguridad insuficiente. El Estado francés no puede exigir a sus ciudadanos la declaración obligatoria de renta y simultáneamente fallar en proteger esos datos con la misma obligatoriedad. EPM ha documentado la fragilidad de las infraestructuras públicas francesas y este episodio confirma que el problema es transversal, no sectorial. La rendición de cuentas debe ser proporcional al daño potencial.
