Lo notable de este mensaje no es el número. Es la pregunta del final — y el hecho de que, al momento de escribir esto, ninguna institución en Francia está en condiciones de responderla con un registro.
Entre fines de junio y fines de julio de 2026, el actor que opera como ZeroBytes reivindicó intrusiones en tres sistemas del Estado francés: dos en la DGFiP — la autoridad fiscal y catastral — y una en el Ministère de l’Éducation Nationale. No fueron rumores anónimos: el mismo seudónimo publicó muestras, nombró sistemas internos y terminó poniendo datos online. La prensa francesa y los comunicados oficiales confirmaron, en cada caso, que hubo intrusión.
Lo que el registro oficial confirma es estrecho y preciso. Lo que el actor reivindica es amplio y específico. Los dos relatos no se encuentran.
El Ministerio de Educación, oficialmente: el acceso fraudulento ocurrió la noche del 25 de julio, vía una cuenta profesional comprometida, contra el sistema de información de formación de agentes. El centro de operaciones de seguridad del ministerio fue alertado al día siguiente, 26 de julio. El ministerio afirma que “suspendió el acceso externo al sistema afectado” y activó una célula de crisis. La divulgación llegó el 31 de julio: la intrusión “pudo conducir” (« a pu conduire ») a la exfiltración de datos personales de “un número significativo” de sus agentes. Sin cifra. Tres semanas después, el comunicado del 18 de agosto dice que el análisis técnico de “la naturaleza exacta y el alcance de los datos exfiltrados” sigue en curso — mientras los datos ya habían aparecido online el día anterior.
El actor, públicamente: entrada el 15 de julio — diez días antes del acceso reconocido oficialmente — mediante credenciales VPN recuperadas. Persistencia durante varias semanas después de haber sido detectado. 346.178.591 líneas crudas en unos 2.500 archivos; por admisión del propio actor, con duplicación masiva, que deduplicada daría unos 4,35 millones de identificadores de personal y 1,22 millones de registros de alumnos abarcando dos décadas. Un medio independiente que revisó la muestra publicada encontró exports que nombran sistemas genuinos del ministerio — consistente con las categorías reivindicadas, pero muy lejos de verificar el volumen.
Cada celda estructural de esta tabla está en disputa: la fecha de entrada, el vector, el tiempo de permanencia, si el acceso se cortó tras la detección, y qué salió realmente. Y la disputa no es resoluble — no porque la verdad sea complicada, sino porque solo una de las partes llevó un registro completo, y no es el defensor.
El caso DGFiP elimina la explicación cómoda. Ahí, según la prensa que reporta la versión oficial, la detección funcionó: el acceso fraudulento — vía credenciales comprometidas de un agente y de un tercero autorizado — fue detectado y cortado. Pero la exfiltración no fue identificada en la detección. Se confirmó recién después de que ZeroBytes publicó los datos el 12–13 de agosto. El alcance confirmado: datos fiscales de referencia de unas 678.000 personas, incluyendo ingresos y tasas de retención.
Releá esa secuencia. El defensor detectó al actor, lo expulsó, y después se enteró de qué se había llevado por las publicaciones del propio actor. La detección tuvo éxito. El registro de conducta — qué hizo, qué tocó, qué movió esa identidad mientras estuvo adentro — no existía del lado del defensor.
Ese es el patrón en ambos incidentes, y vale decirlo sin vueltas: el intruso opera con un log privado completo de sus propias acciones. El defensor opera con fragmentos. Cuando los dos relatos divergen — en fechas, en permanencia, en volumen — no hay registro independiente contra el cual contrastar a ninguno. El taunt solo es posible porque el actor lo sabe.
Francia no llegó a esta exposición por accidente ni por negligencia. Llegó por política de Estado — posiblemente la política de datos abiertos más deliberada de Europa.
La doctrina del « État plateforme » se formalizó por decreto el 1 de agosto de 2014, unificando los sistemas de información del Estado en torno al intercambio. El catálogo api.gouv.fr siguió en 2016, referenciando las APIs de las administraciones públicas en un solo lugar. Y el 7 de octubre de 2016, la Loi pour une République numérique hizo de la apertura el default legal: datos públicos abiertos como regla, no como excepción, con plena vigencia en octubre de 2018. Una década de ingeniería para hacer alcanzable el dato estatal — para ciudadanos, desarrolladores, terceros autorizados. En sus propios términos, un logro.
Pero la apertura es una declaración sobre el lado emisor: qué expone el Estado, a quién, bajo qué consentimiento. Nada en esa década de legislación construyó la capacidad correspondiente del lado receptor: un registro independiente y continuo de lo que cada actor — humano, con credenciales, automatizado — hace realmente una vez adentro del perímetro. La superficie de acceso se abrió por ley. El registro de conducta quedó librado al tooling interno de cada ministerio — exactamente el registro que, en agosto de 2026, no puede responder una pregunta pública sobre su propia intrusión.
Para ser claros sobre lo que esta nota no afirma: estas intrusiones no entraron por el catálogo público de APIs. Los vectores, en todos los relatos, fueron credenciales comprometidas — una puerta común, abierta con una llave robada común. Eso es lo que hace la lección general, y no un argumento contra la apertura. El modo de falla no es la apertura. Es la contabilidad asimétrica: un Estado que puede enumerar todo lo que expone, y no puede enumerar qué hizo un actor específico adentro durante ocho semanas.
ZeroBytes, por todos los indicios, es humano — paciente, manual, operando en escala de semanas. La disputa por la permanencia en el caso Educación se mide en días y semanas: 15 o 25 de julio, cortado en la detección o semanas después.
Un agente autónomo corriendo el mismo playbook — replay de credenciales, movimiento lateral, export masivo — no necesita semanas. La misma disputa, a velocidad de máquina, se mide en horas: para cuando un comunicado dice “suspendimos el acceso externo”, la ventana en cuestión ya no se mide en ciclos de prensa. Cada elemento de este caso — la fecha de entrada disputada, el volumen inverificable, el defensor reconstruyendo su propia pérdida desde los posts del atacante — empeora bajo compresión. El único elemento que cambia la estructura es un registro de conducta que exista antes de la disputa, en manos de ninguna de las dos partes.
El actor le preguntó al ministerio: « Un avis à dire là-dessus ? » — ¿algo que decir al respecto?
Las instituciones que reciban la próxima pregunta de este tipo podrían considerar qué haría falta para responderla. No un mejor detector — la detección, en el caso DGFiP, funcionó. Responder requiere un registro: independiente del log del intruso y de los fragmentos del defensor, continuo a lo largo de la ventana en disputa, y lo bastante sólido para ponerlo sobre la mesa cuando la otra parte miente — o cuando no.
Al momento de escribir esto, el análisis técnico del Estado francés sigue en curso.
