En esta brecha no robaron contrasenas - y eso no es el alivio que parece
El Ministerio de Economia frances ha confirmado que alguien entro en los sistemas de la DGFiP, su administracion tributaria, y extrajo datos pertenecientes a 678.000 personas y empresas. No hubo ningun exploit ingenioso de por medio. El intruso uso las credenciales de un empleado de una oficina tributaria y de un contratista externo, se conecto a la VPN del organismo y lanzo consultas a traves de una herramienta de busqueda interna. Eso fue a finales de junio, el dia 26. Se detecto y se corto en su momento, y se mantuvo fuera del ojo publico hasta que un vendedor con el alias "ZeroBytes" puso la base de datos a la venta en un foro de hacking el 12 de agosto.
El ministerio deja claro que los identificadores de usuario, las contrasenas y las cuentas online no se vieron comprometidos. Ahora mira lo que si: nombres, fechas de nacimiento, direcciones, numeros de telefono, situacion familiar, renta de referencia y tipo de retencion, junto con nombres de empresas y registros de propiedad que incluyen direcciones y superficies de las parcelas. El vendedor afirma ademas tener otros 252.149 registros del catastro que abarcan a mas de dos millones de personas, algo que el ministerio no ha confirmado.
Para un estafador esa lista vale bastante mas que una contrasena. Alguien que ya conoce tu direccion, tu situacion familiar y tu renta real no necesita esforzarse para sonar legitimo. Y el calendario lo hace todavia mas afilado: el ministerio dice que empezara a contactar a los afectados la semana que viene, por correo electronico o carta. Cualquiera que siga la noticia ahora tiene tanto un guion ya escrito como una excusa creible para enviarte un enlace.
Lo que te da una regla sencilla para las proximas semanas. Si te llega un mensaje sobre tu expediente fiscal, ignora su enlace e ignora su numero de telefono, por muy oficial que parezca el membrete. Abre tu navegador, escribe tu mismo la direccion de la agencia tributaria e inicia sesion como haces siempre. Las devoluciones autenticas nunca llevan una comision, y las oficinas tributarias autenticas no piden numeros de tarjeta por telefono.
La revision de Privacidad y cuentas de Tendvane muestra cuales de tus direcciones de correo ya han aparecido en brechas conocidas, lo que da una idea util de cuanto de ti ya esta circulando antes de que llegue el correo convincente.