El Ministerio de Economía francés confirmó el 14 de agosto un acceso ilegítimo al sistema de la Dirección General de Finanzas Públicas, la Hacienda francesa. La investigación establece que se consultaron o extrajeron datos de 678.000 particulares y profesionales. Para las personas, renta de referencia, cociente familiar y tipo de retención. Para las empresas, razón social y número de registro. Y datos catastrales, direcciones y superficies de inmuebles.
Lo que interesa está en el cómo. No hubo un agujero en el software. Hubo una usurpación de las credenciales de un empleado de la administración y de un tercero autorizado. Con esas dos llaves, los accesos se produjeron en junio y julio. Nadie los vio. La alarma llegó los días 12 y 13 de agosto, cuando el atacante reivindicó la intrusión y puso la base a la venta en un foro. La administración cerró entonces los accesos a los sistemas sensibles, avisó a la autoridad de protección de datos, trabaja con la agencia nacional de ciberseguridad y ha presentado denuncia. Los espacios personales de los contribuyentes y sus contraseñas no se vieron afectados.
Dos lecciones caben en cualquier pyme. La primera, que el acceso de tu proveedor es tu acceso. Una de las dos credenciales no era de la casa, era de alguien de fuera con permiso para entrar, y sirvió igual. La segunda, que entre el primer acceso y la detección pasaron dos meses, y la detección vino del propio atacante. Si nadie revisa quién entra y cuándo, la brecha se conoce cuando la anuncian otros. Las cuatro comprobaciones de accesos que caben en una mañana las contamos en La empresa cierra en agosto, pero tus accesos no.
