La ANSSI, la agencia nacional de ciberseguridad de Francia, publicó el 12 de noviembre de 2026 el segundo balance intermedio de la operación REACTIV, dedicada a las filtraciones de datos en los servicios del Estado: desde el 30 de septiembre se le han notificado 64 nuevas violaciones, cinco de las cuales afectan a ministerios u organismos bajo su tutela, entre ellos la CAF (caja de prestaciones familiares) y France Travail (el servicio público de empleo). Más que una técnica sofisticada, el documento describe puertas dejadas entreabiertas (credenciales robadas, doble autenticación ausente o demasiado débil, fallos de acceso directo a los expedientes) que se encuentran en muchas empresas.
Qué contiene el segundo balance REACTIV
Puesta en marcha el 1 de septiembre a petición del primer ministro, la operación REACTIV permite a la agencia imponer a los ministerios medidas de urgencia en plazos ajustados y centralizar la comunicación técnica en caso de crisis. El primer balance, publicado el 30 de septiembre, recogía 99 violaciones puestas en conocimiento de la agencia desde el 1 de agosto, 67 de ellas confirmadas.
La nueva actualización del CERT-FR da cuenta de un descenso importante de las violaciones detectadas o reivindicadas en el ámbito ministerial. No aparece ninguna debilidad inédita: las cinco familias ya enumeradas en septiembre bastan para explicarlo todo, a saber, la autenticación débil o ausente, la subcontratación, las cuentas robadas por programas ladrones de credenciales (infostealers), los fallos llamados IDOR y los defectos de desarrollo o de configuración. La ANSSI observa avances claros en la doble autenticación y cifra en un 70 %, en el conjunto interministerial, el grado de avance de los objetivos fijados para 2026 por la hoja de ruta 2026-2027 del Estado en materia de seguridad digital. Advierte de que sus cifras aún pueden evolucionar y no constituyen una visión exhaustiva.
Cinco nuevos incidentes, los mismos fallos
- CAF: la plataforma de ayudas para vacaciones VACAF sufrió la extracción de sus datos mediante un procedimiento automatizado del 8 al 10 de octubre, gracias a credenciales de cuentas de socios robadas por un infostealer, sin doble autenticación, y a una dirección web que exponía los números de expediente. La ANSSI habla de cerca de 1,2 millones de expedientes, con nombres, números de afiliado, cociente familiar e identidades de menores, pero sin datos bancarios ni contraseñas. IT-Connect señala que la Cnaf (caja nacional de prestaciones familiares) adelantó, en un comunicado del 2 de noviembre, la cifra de 1.619.893 beneficiarios. La vuelta a la red está condicionada a una prueba de intrusión y a la incorporación de una doble autenticación.
- France Travail: el 26 de septiembre, la cuenta de un empleado fue comprometida pese a que el segundo factor por SMS se había validado correctamente, lo que permitió extraer datos; el 8 de octubre, alguien reivindicó en un foro ciberdelictivo la puesta a la venta de datos de más de 60.000 empleados y profesionales.
- Oficina Francesa de la Biodiversidad (OFB): el 4 de octubre se vieron afectados los candidatos al examen de la licencia de caza; un fallo IDOR en la interfaz de pago del portal de inscripción expuso a más de un millar de personas, menores incluidos, cuyos datos quedaron de libre acceso ese mismo día.
- Agence de services et de paiement (ASP, la agencia estatal de servicios y pagos): su portal DEFI, que remunera a los becarios, fue comprometido el 30 de septiembre mediante una cuenta usurpada y una vulnerabilidad; la exfiltración afecta a 30.500 usuarios, que han sido avisados.
- Ministerio de Europa y Asuntos Exteriores (MEAE): detectada el 20 de octubre, una intrusión en el portal de las bibliotecas habría permitido a un tercero consultar los datos personales de un centenar de usuarios, mediante cuentas técnicas sustraídas previamente en un servidor comprometido.
Por el contrario, el Ministerio de Agricultura ilustra el efecto de una buena protección: se detectaron certificados VPN comprometidos, pero la doble autenticación impidió que el atacante se conectara.
El hilo común: secretos robados y reutilizados
Para la ANSSI, las investigaciones convergen en un mismo escenario: el atacante reutiliza credenciales, contraseñas o tokens robados para entrar en una aplicación y extraer sus datos como lo haría un usuario legítimo.
La respuesta recomendada es, en consecuencia, muy concreta: renovar en primer lugar todos los secretos comprometidos o sospechosos, generalizar una autenticación fuerte, controlar estrictamente las cuentas con privilegios, endurecer el filtrado de accesos para impedir la exfiltración y reforzar la seguridad de las aplicaciones expuestas a internet o a redes de terceros. La agencia remite también a un informe de lecciones aprendidas sobre las violaciones de datos en aplicaciones publicado el 20 de octubre. Por último, el caso de France Travail muestra los límites del código recibido por SMS: IT-Connect aconseja sustituirlo por llaves de seguridad FIDO2 o claves de acceso (passkeys), más resistentes al phishing.
Lo que una empresa puede aplicar desde ya
Los mecanismos descritos valen mucho más allá del Estado; varias medidas se derivan directamente del informe:
- imponer la doble autenticación en las cuentas de socios y proveedores, a menudo olvidadas pese a que abrieron la puerta de VACAF;
- sustituir progresivamente el SMS por factores resistentes al phishing para los accesos sensibles;
- tratar todo equipo infectado por un infostealer como una filtración de credenciales y renovar los secretos afectados, sin limitarse a limpiar la máquina;
- hacer probar sus interfaces de programación frente a los accesos directos a expedientes de otros usuarios antes de cualquier puesta en línea;
- vigilar y limitar los volúmenes extraídos: el Ministerio de Educación, también citado en el informe, refuerza la supervisión de sus flujos de datos y limita su número.
Preguntas frecuentes
¿Qué es la operación REACTIV de la ANSSI?
Es un dispositivo que el primer ministro pidió a la ANSSI que pusiera en marcha el 1 de septiembre de 2026 para reaccionar ante las violaciones de datos en los servicios del Estado. Otorga a la ANSSI la facultad de hacer aplicar medidas de urgencia a los ministerios y de coordinar la comunicación técnica en caso de ataque.
¿Qué es un fallo IDOR?
Es un defecto de control de acceso: una vez conectado, un usuario puede llegar a los datos de otras personas simplemente modificando un identificador en una dirección o una solicitud. Este tipo de fallo permitió la extracción de los expedientes de VACAF y la exposición de los candidatos a la licencia de caza.
¿Deben cambiar su contraseña los beneficiarios de la CAF afectados?
Según la ANSSI, en los expedientes de VACAF extraídos no figura ninguna contraseña ni ningún dato bancario. En cambio, los datos de identidad y de situación familiar expuestos pueden servir para estafas dirigidas: conviene desconfiar de los mensajes que se amparen en ellos para reclamar un pago o credenciales.
Fuentes
- Point de situation de l'opération REACTIV – octobre 2026 (CERTFR-2026-CTI-010) — CERT-FR / ANSSI, 2026-11-12
- CAF, France Travail, OFB… l'ANSSI fait le point sur les fuites de données d'octobre 2026 — IT-Connect, 2026-11-12
- Point de situation de l'opération REACTIV – septembre 2026 (CERTFR-2026-CTI-006) — CERT-FR / ANSSI, 2026-09-30