Introducción
El 12 de agosto de 2026, un actor malicioso conocido bajo el seudónimo ZeroBytes puso a la venta en un foro cibercriminal una base de datos perteneciente a la Dirección General de Finanzas Públicas de Francia (DGFiP). Fue a través de ese anuncio —y no mediante sus propios sistemas de vigilancia— como la DGFiP descubrió que había sido comprometida. La intrusión se remontaba a junio, varias semanas antes. Ese retraso lo dice todo.
Qué fue robado
La brecha afecta directamente a 678 000 personas físicas y jurídicas. Los datos expuestos incluyen ingresos fiscales de referencia, cuotas familiares, tasas de retención en la fuente, información catastral, así como nombres y números de identificación empresarial (SIREN) de compañías francesas. Un segundo frente, vinculado a la plataforma de acceso a datos catastrales para profesionales, extiende potencialmente el impacto a dos millones de propietarios. La DGFiP precisó que los espacios personales y contraseñas de los usuarios no fueron comprometidos, aunque esta información facilita ataques de phishing extremadamente dirigidos.
El ataque no explotó ninguna vulnerabilidad técnica en las aplicaciones. Se sustentó íntegramente en la compromisión de credenciales legítimas: las de un agente de la DGFiP y las de un proveedor externo con acceso autorizado a los sistemas. Dos vectores de entrada, cero alertas durante semanas.
El punto ciego de la vigilancia estática
Ese silencio operativo es el verdadero nudo del asunto. Los registros de actividad capturaron cada conexión: las credenciales eran válidas, los accesos formalmente autorizados. Un SIEM configurado con reglas estáticas no detecta nada anómalo en ese patrón.
Es precisamente lo que buscan corregir los sistemas de análisis de comportamiento de usuarios y entidades —herramientas UEBA por sus siglas en inglés—. En lugar de comparar cada acción con una biblioteca de firmas de amenazas conocidas, construyen un perfil de comportamiento normal para cada cuenta: volúmenes habituales de consultas, horarios de conexión, categorías de datos accedidos, origen geográfico de las sesiones. Cualquier desviación significativa, incluso con credenciales válidas, genera una alerta.
Los modelos de machine learning subyacentes se entrenan sobre los historiales de comportamiento real de la organización y se ajustan de forma continua. Varios fabricantes ofrecen estas capacidades como extensión nativa de sus SIEM o directamente dentro de plataformas XDR. Aplicados a este escenario, volúmenes de consulta inusuales o secuencias de extracción atípicas habrían bastado, muy probablemente, para desencadenar una investigación mucho antes de que el atacante publicara la base de datos a la venta.
El riesgo de terceros, siempre subestimado
La compromisión de las credenciales del proveedor externo ilustra una realidad estructural que se repite tanto en organismos públicos como en el sector privado. Los accesos concedidos a terceros —integradores, proveedores de software, subcontratistas, consultoras de auditoría— quedan frecuentemente fuera de los ciclos de revisión habituales y reciben una vigilancia menos granular que las cuentas internas. Sin embargo, su perímetro de actuación puede ser muy amplio.
Para los equipos de IT y los CISO, los principios son bien conocidos pero insuficientemente desplegados: mínimo privilegio para toda cuenta externa, gestión de accesos privilegiados (PAM) con sesiones trazadas y limitadas en el tiempo, revisión periódica de los derechos concedidos a proveedores inactivos. El análisis comportamental es el complemento natural de estos mecanismos: actúa allí donde las reglas estáticas siguen siendo ciegas.
Lo que las empresas afectadas deben anticipar
Para las organizaciones cuyos datos de identificación empresarial e información fiscal figuran en la base robada, el riesgo inmediato es la ingeniería social dirigida. Un interlocutor que conoce la situación fiscal de una empresa, a sus directivos o su situación patrimonial gana una credibilidad considerable. La concienciación de los equipos ante estos intentos de phishing enriquecido —incluyendo a la alta dirección— es una medida que debe adoptarse sin esperar a la notificación oficial de la DGFiP.
La CNIL (autoridad francesa de protección de datos), la ANSSI (agencia nacional francesa de ciberseguridad) y la fiscalía de París, a través de la Oficina Anticibercriminalidad, están implicadas en el seguimiento judicial y regulatorio del asunto. Para los CIO y CISO, la lección trasciende al sector público: la detección no puede seguir basándose únicamente en reglas redactadas antes de que el ataque sea conocido. Ese es precisamente el papel que el análisis comportamental impulsado por machine learning debía desempeñar aquí —y no lo hizo.