A administração fiscal de França confirmou uma grave fuga de dados. A 13 de agosto de 2026, a Direction générale des Finances publiques (DGFiP) — o equivalente francês à Autoridade Tributária portuguesa — reconheceu um «acesso ilegítimo» ao seu sistema de informação, com extração de dados fiscais sensíveis de centenas de milhares de contribuintes. O portal público não foi comprometido, mas os dados expostos abrem caminho a uma vaga de burlas muito credíveis.
TL;DR
- Um pirata com o pseudónimo ZeroBytes reivindicou a 12 de agosto a posse de 678 438 linhas de dados fiscais franceses.
- A DGFiP confirmou a intrusão (final de junho de 2026, por usurpação de identidade) mas ainda não divulgou uma contagem oficial de vítimas.
- Dados expostos dos particulares: nome, morada, composição do agregado, rendimento fiscal de referência e taxa de retenção na fonte.
- O portal impots.gouv.fr e as áreas pessoais NÃO foram comprometidos.
- O verdadeiro perigo é o phishing. A CNIL (regulador francês) e o Ministério Público de Paris já intervieram.
Primeiro, o contexto: o que é a DGFiP?
A Direction générale des Finances publiques (DGFiP) é a autoridade fiscal nacional de França — liquida e cobra o imposto sobre o rendimento, gere os registos dos contribuintes e opera o portal público impots.gouv.fr. É o equivalente à Autoridade Tributária e Aduaneira em Portugal. Dois conceitos fiscais franceses são importantes aqui. O revenu fiscal de référence (RFR), ou «rendimento fiscal de referência», é um valor oficial que resume o rendimento total de um agregado — revela, na prática, quanto se ganha e serve para determinar o acesso a vários apoios. A prélèvement à la source é o sistema francês de retenção na fonte; a taxa de retenção individual também indicia o nível de rendimento. Ambos constavam dos campos expostos — o que torna esta fuga especialmente sensível.
O que aconteceu
A 12 de agosto de 2026, o pirata conhecido por ZeroBytes afirmou, num fórum de cibercrime, ter extraído 678 438 linhas de dados da DGFiP. No dia seguinte, o Ministério da Ação e das Contas Públicas de França confirmou um «acesso ilegítimo» ao sistema de informação da agência, ocorrido no final de junho de 2026.
Curiosamente, não houve exploração de falha de software nem ransomware. O ponto de entrada foi a usurpação de identidade: alguém se fez passar por um utilizador autorizado — usando as credenciais de um agente e/ou de um terceiro habilitado — e consultou uma ferramenta interna. O acesso foi cortado no final de junho, durante um controlo, mas os dados já tinham sido consultados e extraídos.
Que dados foram expostos
Segundo a plataforma de monitorização FrenchBreaches, que analisou amostras dos ficheiros, os registos dos particulares incluem identidade, data e local de nascimento, morada fiscal, situação do agregado e número de «partes» fiscais, além dos dois valores sensíveis acima — rendimento fiscal de referência e taxa de retenção. Os dados das empresas (denominação social, número de registo SIREN, morada) são considerados menos sensíveis por serem frequentemente públicos.
A plataforma conta 678 437 pessoas nos ficheiros (392 867 particulares e 285 570 empresas). É essencial sublinhar que estes números provêm dos ficheiros do atacante, e não de uma contagem oficial: a DGFiP diz que a investigação prossegue. Uma segunda reivindicação, não confirmada, a 14 de agosto, refere dados cadastrais (registo predial) — potencialmente de centenas de milhares até mais de dois milhões de titulares, consoante a fonte.
Porque é que isto importa também fora de França
Qualquer pessoa que tenha entregado declarações fiscais em França — incluindo residentes estrangeiros, trabalhadores transfronteiriços e emigrantes portugueses — pode, em teoria, estar abrangida. A ameaça imediata não é o roubo de dinheiro, mas o phishing altamente direcionado: com o seu nome, morada e dados fiscais reais, os burlões conseguem criar e-mails de «reembolso de impostos» ou «pagamento em falta» que parecem autênticos. Trate qualquer mensagem não solicitada do «fisco» como suspeita, nunca clique no link e entre apenas escrevendo você mesmo o endereço oficial. A DGFiP nunca pede dados bancários por e-mail ou SMS.
A resposta oficial
A DGFiP pediu desculpa e diz que vai contactar individualmente cada pessoa afetada — por e-mail ou carta, a partir da semana de 18 de agosto de 2026 — indicando que dados podem ter sido acedidos e que precauções tomar. Notificou o regulador francês de proteção de dados, a CNIL, apresentou queixa, e a secção de cibercrime do Ministério Público de Paris abriu um inquérito.
FAQ
Os meus dados foram divulgados?
Só a DGFiP o pode confirmar. Vai contactar diretamente as pessoas afetadas a partir da semana de 18 de agosto de 2026. Os números que circulam vêm dos ficheiros do atacante, não de uma contagem oficial definitiva.
Qual é o risco real?
Sobretudo phishing direcionado e fraude de identidade: os criminosos podem usar os dados expostos para tornar as burlas credíveis. Não há registo de roubo direto de fundos bancários através deste incidente.
O que devo fazer?
Desconfie de qualquer e-mail ou SMS não solicitado do «fisco», nunca clique nos links, nunca partilhe dados bancários, entre apenas pelo endereço oficial que escreve você mesmo e guarde qualquer notificação oficial da DGFiP que receba.
O impots.gouv.fr foi comprometido?
Não. Segundo a administração, o portal público e as áreas pessoais dos utilizadores não foram comprometidos. A intrusão visou uma ferramenta interna através de usurpação de identidade do lado dos acessos profissionais.
Por Patrick Lancier