Los ataques se suceden y se parecen entre sí. Desde finales de diciembre de 2025, los servicios de France Travail (servicio de empleo francés), de Hacienda, de Educación Nacional y de Vivienda –por citar solo algunos– han sido, uno tras otro, blanco de piratas informáticos. Últimas víctimas hasta la fecha: los Servicios Departamentales de Incendios y de Salvamento (SDIS). Bomberos del Gard, de Bouches-du-Rhône, de Moselle, de Bas-Rhin y también de Vosges han descubierto así la filtración de sus datos personales, y esas filtraciones se cuentan por miles.
En su informe anual de 2025, la Comisión Nacional de Informática y Libertades (CNIL) señalaba haber registrado 6.167 violaciones de datos. Un aumento de cerca del 10 % con respecto a 2024, sintomático de un fenómeno en constante crecimiento desde hace casi diez años. Entre los distintos sectores afectados, las administraciones públicas ocupan los primeros puestos del ranking.
Y con razón, pues son objeto de aproximadamente un ataque de cada cinco. Considerados particularmente fiables, explica un hacker anónimo a la radio pública francesa France Info, los datos recopilados por los servicios del Estado se revenden caros en los mercados virtuales. Además, si la tendencia a la desmaterialización de documentos y al “todo digital” ha simplificado ciertos trámites, también ha creado cajas de almacenamiento centralizadas de información privada. Una sola llave basta entonces para abrir un cofre repleto de datos, cuyas medidas de seguridad no parecen haber seguido el ritmo de la digitalización.
¿Francia, el mal alumno de Europa?
Un estudio publicado en 2026 por la empresa neerlandesa de ciberseguridad Surfshark sitúa a Francia en segunda posición entre los países más afectados por violaciones de datos, detrás de Estados Unidos. De hecho, el Hexágono ocupa el primer puesto dentro de la Unión Europea. En total, más de 40 millones de cuentas habrían sido comprometidas en 2025.
Los resultados presentados por Surfshark no distinguen, ciertamente, entre datos almacenados por particulares y por los servicios públicos, pero evidencian carencias en materia de higiene digital. “Seguro que hay personas que ni siquiera saben que han sido atacadas”, observa Florence Sèdes, profesora universitaria en informática e investigadora en el Instituto de Investigación en Informática de Toulouse.
Un gran número de hackeos suelen deberse a errores o fallos individuales. Funcionarios del servicio público, cuyas competencias informáticas o formación no han evolucionado proporcionalmente al paso a la digitalización, pueden abrir así, sin saberlo, brechas en los sistemas. Más allá de las afinidades de cada cual con lo digital, “ocurre que las personas no hablan de los problemas que encuentran y no se atreven a compartirlos para evitar verse en dificultades, de modo que la brecha persiste”, señala Florence Sèdes.
Más allá de la responsabilidad individual de los funcionarios, la cuestión de la adaptación de las infraestructuras a la amenaza de los ciberataques sigue siendo central. A imagen de la Dirección General de Finanzas Públicas (DGFiP), pirateada el pasado junio y julio, la desmaterialización y la apertura global al mundo digital de los servicios públicos han podido crear vulnerabilidades, ya que no todas las instituciones han evolucionado al mismo ritmo, indica Florence Sèdes. Además, “todos estos desarrollos se confían a empresas privadas, a subcontratistas”, añade la investigadora. Difícil, por tanto, mantener el control sobre el funcionamiento y la homogeneidad de las redes.
Frente al aumento constante del riesgo, desde hace varios años se han tomado directivas sobre el tema a nivel europeo, sin que necesariamente se hayan traducido de forma sistemática en hechos.
La Comisión Europea llevó ante el Tribunal de Justicia de la Unión Europea a Francia el pasado julio, reprochando a París no haber implementado aún la directiva NIS 2, publicada por la UE en 2022. Esta prevé, entre otras cosas, “el uso de soluciones de autenticación multifactor” para las redes de las “entidades esenciales” de los Estados miembros. Según las últimas noticias, el examen del proyecto de ley de transposición de NIS 2 en Francia no debería tener lugar antes de septiembre de 2026, es decir, casi dos años después del plazo inicialmente fijado por la UE.
“Comprar las rejas y la alarma antes que la casa”
Solo Bélgica, Croacia, Italia y Lituania habrían respetado, no obstante, esa fecha límite. Desde entonces, 22 Estados miembros han adoptado un acto de transposición. Francia forma parte así de los cinco últimos rezagados.
Tras las filtraciones de datos de las que fue víctima la DGFiP, el primer ministro, Sébastien Lecornu, lamentó que “pocos ministerios” estén “al nivel requerido” en materia de ciberseguridad. Además, las respuestas gubernamentales parecen intervenir a veces de forma reactiva, solo una vez encajado el ataque, en lugar de asegurar la fortaleza de antemano.
“Habría que hacer ‘secure by design’, es decir, infraestructuras concebidas para la seguridad”, explica Florence Sèdes, “pero eso no se vende. Es como la prevención en salud”. La idea sería entonces prever mecanismos de defensa adecuados y preparados, en la medida de lo posible, para resistir los ataques venideros. En otras palabras, “comprar las rejas y la alarma antes de construir la casa”, resume la investigadora.
“Los desbordamientos recientes al menos tienen el mérito de devolver estas cuestiones al centro del debate”, concede Florence Sèdes. Cuestiones planteadas por el Tribunal de Cuentas desde hace varios años. En junio de 2025, esta institución recordaba en un informe que, si la dirección de la seguridad de los sistemas de información del Estado está ahora “bien estructurada”, todavía le cuesta “traducirse en acciones contundentes”. La causa: una falta de “planes de acción, apoyados en calendarios precisos y articulados con la programación presupuestaria”.
Desde la oleada de ataques del verano de 2026, Sébastien Lecornu ha pedido a sus ministros un “revulsivo en el frente cibernético”, informaba France Info el 31 de agosto. Dos semanas antes, el primer ministro reclamaba la creación de una “nueva unidad cibernética”. Un anuncio que llama la atención de Florence Sèdes.
“No necesitamos aún una nueva capa, no es lo que hace falta”, afirma. La especialista recuerda en particular la existencia de la Agencia Nacional de Seguridad de los Sistemas de Información (ANSSI), “un nido de personas competentes”, estima, que depende directamente… del primer ministro.
¿Qué costes tienen estos ataques?
A falta de una comunicación efectiva sobre el alcance de sus repercusiones, el coste preciso de estos ataques contra los servicios públicos franceses es difícil de evaluar, “pero es real, seguro”, afirma Florence Sèdes. Algunos elementos permiten, sin embargo, establecer un orden de la magnitud.
Víctimas recurrentes de las intrusiones digitales, algunos hospitales han tenido que desembolsar millones de euros para reconstruir sus sistemas informáticos. El hospital de Corbeil-Essonnes ha previsto así un presupuesto de siete millones de euros tras el ataque contra sus servicios en agosto de 2022. Situación similar para el centro hospitalario de Dax, objetivo en 2021, cuya factura asciende a 2,3 millones de euros. Por su parte, la ciudad de Bondy tuvo que asumir un gasto de al menos 1,5 millones de euros tras un escenario similar. Son ejemplos que dan cuenta de las importantes sumas en juego tras este tipo de acontecimientos. Todo ello considerando la escala local de estos gastos, muy por debajo de los niveles ministeriales.
Esta consecuencia indirecta de la carrera hacia la desmaterialización de los servicios públicos pone de relieve, además, una paradoja. Inicialmente, esta digitalización tenía como objetivo reducir los costes. En efecto, la disminución, o incluso la desaparición, de los trámites presenciales permite “evitar tener empleados a los que remunerar”, señala Florence Sèdes. La relación costes–beneficios parece así más compleja de lo que se anticipó en un principio.
A estos gastos adicionales para el Estado se suma el coste social del aumento de las filtraciones de datos. “Es un problema relativo a la defensa del ciudadano y a la manera en que es considerado por el poder público”, juzga la especialista. “Con solo tres fuentes se pueden reconstruir perfectamente informaciones muy sensibles a partir de datos dispersos que parecen totalmente inertes”, alerta.
Si estas brechas de ciberseguridad pueden contribuir a erosionar la confianza de las personas en las instituciones, también plantean interrogantes sobre el nivel de preparación frente a la evolución de la amenaza, caracterizada, según el Tribunal de Cuentas, por una “mayor porosidad entre el espionaje y la ciberdelincuencia”.
Compartir esta nota