Os dados que o Estado francês guarda sobre os contribuintes acabaram de vazar — e a conta desse ataque será paga em tentativas de golpe.Les données que l'État français conserve sur les contribuables viennent de fuiter — et la facture de cette attaque se paiera en tentatives d'arnaque.The data the French state keeps on taxpayers has just leaked — and the bill for this attack will be paid in attempted scams.
A Direção-Geral de Finanças Públicas (DGFiP), o fisco francês, confirmou ter sido alvo de um ataque cibernético que expôs dados de aproximadamente 678 mil contribuintes — pessoas físicas e empresas. As vítimas começaram a ser avisadas individualmente a partir de segunda-feira, 18 de agosto de 2026.La Direction générale des finances publiques (DGFiP), le fisc français, a confirmé avoir été la cible d'une cyberattaque ayant exposé les données d'environ 678 000 contribuables — particuliers et entreprises. Les victimes ont commencé à être prévenues individuellement à partir du lundi 18 août 2026.The Direction générale des finances publiques (DGFiP), the French fisco, has confirmed it was the target of a cyberattack that exposed the data of roughly 678 thousand taxpayers — individuals and companies. Victims began to be notified individually starting Monday, 18 August 2026.
O que vazou — e o que não vazouCe qui a fuité — et ce qui n'a pas fuitéWhat leaked — and what did not
A distinção é importante para dimensionar o risco sem alarmismo. Segundo a DGFiP, os dados furtados não permitem acessar as contas seguras dos contribuintes no site do fisco.La distinction est importante pour mesurer le risque sans alarmisme. Selon la DGFiP, les données dérobées ne permettent pas d'accéder aux comptes sécurisés des contribuables sur le site des impôts.The distinction matters for gauging the risk without alarmism. According to the DGFiP, the stolen data does not allow access to the secure accounts of taxpayers on the fisco's website.
Dados expostos (pessoas físicas)Données exposées (particuliers)Exposed data (individuals)
- Nome, data de nascimento e endereçoNom, date de naissance et adresseName, date of birth and address
- Telefone e situação familiarTéléphone et situation familialePhone and family situation
- Renda fiscal de referênciaRevenu fiscal de référenceReference tax income (revenu fiscal de référence)
- Taxa de retenção na fonte (prélèvement à la source)Taux de prélèvement à la sourceWithholding tax rate (prélèvement à la source)
Empresas: nº SIREN e endereços — considerados menos sensíveis.Entreprises : n° SIREN et adresses — jugés moins sensibles.Companies: SIREN no. and addresses — considered less sensitive.
Não foram atingidosNon touchésNot affected
- Senhas de acessoMots de passeAccess passwords
- Dados bancários (RIB/IBAN)Coordonnées bancaires (RIB/IBAN)Banking details (RIB/IBAN)
- Acesso à conta no impots.gouv.frAccès au compte impots.gouv.frAccess to the account on impots.gouv.fr
Como os invasores entraramComment les intrus sont entrésHow the intruders got in
De acordo com relatos de imprensa especializada, o acesso não autorizado teria começado com o uso indevido da identidade de alguém para entrar nos sistemas da DGFiP. A partir daí, o atacante teria alcançado servidores internos, conectado-se à VPN da administração e usado uma ferramenta interna de busca para reunir informações. O acesso ocorreu no fim de junho de 2026 e foi detectado e encerrado ainda naquele mês; o caso veio a público na semana de 14 de agosto, depois que um autor que se identifica pelo apelido ZeroBytes reivindicou o ataque.Selon la presse spécialisée, l'accès non autorisé aurait débuté par l'usurpation de l'identité d'une personne pour pénétrer les systèmes de la DGFiP. L'attaquant aurait ensuite atteint des serveurs internes, s'est connecté au VPN de l'administration et a utilisé un outil interne de recherche. L'accès a eu lieu fin juin 2026 et a été détecté et interrompu le même mois ; l'affaire est devenue publique la semaine du 14 août, après qu'un individu se présentant sous le pseudonyme ZeroBytes a revendiqué l'attaque.According to reports in the specialized press, the unauthorized access reportedly began with the misuse of someone's identity to get into the DGFiP's systems. From there, the attacker reportedly reached internal servers, connected to the administration's VPN and used an internal search tool to gather information. The access took place at the end of June 2026 and was detected and shut down that same month; the case came to light in the week of 14 August, after someone using the nickname ZeroBytes claimed responsibility for the attack.
O mesmo grupo já teria reivindicado, em junho, o furto de cerca de 200 mil registros com informações cadastrais (dados de propriedades e imóveis). O número de vítimas alegado pelo autor — mais de 600 mil — não foi confirmado de forma independente; o total oficial informado pela DGFiP é de 678 mil.Le même groupe aurait déjà revendiqué, en juin, le vol d'environ 200 000 enregistrements de données cadastrales (biens et propriétés). Le nombre de victimes avancé par l'auteur — plus de 600 000 — n'a pas été confirmé de source indépendante ; le total officiel de la DGFiP est de 678 000.The same group had reportedly already claimed, in June, the theft of around 200 thousand records containing cadastral information (property and real-estate data). The number of victims claimed by the perpetrator — more than 600 thousand — has not been independently confirmed; the official total reported by the DGFiP is 678 thousand.
Pedido de desculpas, investigação e a CNILExcuses, enquête et la CNILAn apology, an investigation and the CNIL
A diretora-geral da DGFiP, Amélie Verdier, pediu desculpas e conclamou os contribuintes à prudência. O ministro das Contas Públicas, David Amiel, pediu propostas para reforçar os procedimentos de segurança. O Ministério Público de Paris abriu uma investigação criminal, e a CNIL — a autoridade francesa de proteção de dados — foi notificada e avalia o caso.La directrice générale de la DGFiP, Amélie Verdier, a présenté ses excuses et appelé les contribuables à la prudence. Le ministre des Comptes publics, David Amiel, a demandé des propositions pour renforcer les procédures de sécurité. Le parquet de Paris a ouvert une enquête pénale, et la CNIL — l'autorité française de protection des données — a été notifiée et examine le dossier.The DGFiP's director-general, Amélie Verdier, apologized and urged taxpayers to be cautious. The minister for public accounts, David Amiel, called for proposals to strengthen security procedures. The Paris public prosecutor's office opened a criminal investigation, and the CNIL — France's data protection authority — was notified and is examining the case.
Os serviços do fisco nunca pedem dados bancários por e-mail ou telefone.Les services des impôts ne demandent jamais de coordonnées bancaires par e-mail ou par téléphone.The fisco's services never ask for banking details by email or phone.
O perigo não é a conta — é o golpeLe danger n'est pas le compte — c'est l'arnaqueThe danger is not the account — it is the scam
Mesmo sem senhas ou dados bancários, o vazamento é perigoso porque entrega aos golpistas exatamente o que torna uma fraude convincente: seu nome, seu endereço, sua situação familiar e até a sua taxa de imposto. Com esses dados, é possível montar e-mails, SMS e ligações que parecem vir do fisco — o chamado phishing. Imigrantes e pessoas menos familiarizadas com a administração francesa estão entre os alvos mais visados.Même sans mots de passe ni coordonnées bancaires, la fuite est dangereuse car elle livre aux escrocs ce qui rend une fraude convaincante : votre nom, votre adresse, votre situation familiale et jusqu'à votre taux d'imposition. Avec ces données, on peut fabriquer des e-mails, SMS et appels qui semblent provenir du fisc — le phishing. Les immigrés et les personnes moins familières de l'administration française figurent parmi les cibles les plus visées.Even without passwords or banking details, the leak is dangerous because it hands scammers exactly what makes a fraud convincing: your name, your address, your family situation and even your tax rate. With this data, they can craft emails, texts and calls that appear to come from the fisco — so-called phishing. Immigrants and people less familiar with the French administration are among the most targeted.
Como se proteger dos golpes agoraComment se protéger des arnaques maintenantHow to protect yourself from scams now
- Desconfie de urgência. "Reembolso a receber", "dívida a pagar já", "clique para regularizar" — o fisco não trabalha por pressão nem por link.Méfiez-vous de l'urgence. « Remboursement à percevoir », « dette à régler immédiatement », « cliquez pour régulariser » — le fisc ne fonctionne ni par pression ni par lien.Be wary of urgency. "Refund waiting for you," "debt to be paid right now," "click to sort it out" — the fisco does not work through pressure or through links.
- Confira o endereço de e-mail. Mensagens legítimas terminam em @dgfip.finances.gouv.fr. Na dúvida, não responda.Vérifiez l'adresse e-mail. Les messages légitimes se terminent par @dgfip.finances.gouv.fr. En cas de doute, ne répondez pas.Check the email address. Legitimate messages end in @dgfip.finances.gouv.fr. When in doubt, do not reply.
- Não clique em links. Acesse sempre digitando você mesmo impots.gouv.fr no navegador; evite qualquer link fora de .gouv.fr.Ne cliquez pas sur les liens. Accédez toujours en tapant vous-même impots.gouv.fr ; évitez tout lien hors de .gouv.fr.Do not click on links. Always go there by typing impots.gouv.fr into your browser yourself; avoid any link outside .gouv.fr.
- Nunca informe dados bancários por e-mail, SMS ou telefone — o fisco não os pede assim. Cuidado com números falsificados (spoofing).Ne communiquez jamais vos coordonnées bancaires par e-mail, SMS ou téléphone — le fisc ne les demande pas ainsi. Attention aux numéros falsifiés (spoofing).Never give out banking details by email, SMS or phone — the fisco does not ask for them that way. Beware of spoofed numbers (spoofing).
- Reforce a segurança: troque a senha do impots.gouv.fr, ative dupla verificação quando possível e desconfie de contatos que já "sabem" seus dados.Renforcez la sécurité : changez le mot de passe d'impots.gouv.fr, activez la double authentification si possible et méfiez-vous des contacts qui « connaissent » déjà vos données.Strengthen your security: change your impots.gouv.fr password, enable two-step verification where possible and be wary of contacts that already "know" your data.
- Denuncie: tentativas de golpe podem ser reportadas em signal-spam.fr, no 33700 (SMS suspeitos) e na plataforma cybermalveillance.gouv.fr.Signalez : les tentatives d'arnaque se signalent sur signal-spam.fr, au 33700 (SMS suspects) et sur cybermalveillance.gouv.fr.Report it: scam attempts can be reported at signal-spam.fr, to 33700 (suspicious SMS) and on the cybermalveillance.gouv.fr platform.
Nota da RedaçãoNote de la rédactionNewsroom Note
Alguns números permanecem em apuração. O total de 678 mil é o dado oficial da DGFiP; a cifra de "mais de 600 mil" atribuída ao autor do ataque não foi verificada de forma independente. Segundo o fisco, os dados furtados não dão acesso às contas dos contribuintes. Esta matéria tem caráter informativo e de proteção, e não substitui as orientações oficiais que cada pessoa receber da DGFiP.Certains chiffres restent en cours de vérification. Le total de 678 000 est la donnée officielle de la DGFiP ; le chiffre de « plus de 600 000 » avancé par l'auteur n'a pas été vérifié de source indépendante. Selon le fisc, les données dérobées ne donnent pas accès aux comptes des contribuables. Ce reportage est informatif et de protection ; il ne remplace pas les consignes officielles reçues de la DGFiP.Some figures remain under verification. The total of 678 thousand is the DGFiP's official figure; the "more than 600 thousand" number attributed to the attacker has not been independently verified. According to the fisco, the stolen data does not give access to taxpayers' accounts. This report is informational and protective in nature and does not replace the official guidance each person receives from the DGFiP.
Nota EditorialNote éditorialeEditorial Note
Verificação. Apuração cotejada com Connexion France, The Record (Recorded Future), TechTimes e Brussels Signal (agosto de 2026). Confirmados: o total de 678 mil afetados; a natureza dos dados (pessoais e fiscais, sem senhas nem dados bancários); o método de acesso (uso indevido de identidade → servidores internos → VPN → ferramenta de busca); o vazamento cadastral anterior (~200 mil, junho); a investigação do Ministério Público de Paris; e as declarações de Amélie Verdier (DGFiP) e do ministro David Amiel. As imagens desta edição (fachada de um Centre des Finances Publiques e cabeamento de rede) são ilustrativas; não são propriedade da The Crossing Time e os créditos devem ser confirmados.Vérification. Recoupé avec Connexion France, The Record (Recorded Future), TechTimes et Brussels Signal (août 2026). Confirmés : le total de 678 000 personnes concernées ; la nature des données (personnelles et fiscales, sans mots de passe ni coordonnées bancaires) ; la méthode d'accès (usurpation d'identité → serveurs internes → VPN → outil de recherche) ; la fuite cadastrale antérieure (~200 000, juin) ; l'enquête du parquet de Paris ; et les déclarations d'Amélie Verdier (DGFiP) et du ministre David Amiel. Les images de cette édition (façade d'un Centre des Finances Publiques et câblage réseau) sont illustratives ; elles ne sont pas la propriété de The Crossing Time et les crédits doivent être confirmés.Verification. Reporting cross-checked with Connexion France, The Record (Recorded Future), TechTimes and Brussels Signal (August 2026). Confirmed: the total of 678 thousand affected; the nature of the data (personal and tax data, without passwords or banking details); the access method (identity misuse → internal servers → VPN → search tool); the earlier cadastral leak (~200 thousand, June); the Paris prosecutor's investigation; and the statements by Amélie Verdier (DGFiP) and minister David Amiel. The images in this edition (the façade of a Centre des Finances Publiques and network cabling) are illustrative; they are not the property of The Crossing Time and the credits must be confirmed.