Cuando hackean a los servicios públicos, ¿qué haces con tus documentos?

El 22 de enero de 2026, la CNIL —la autoridad francesa de protección de datos— multa a France Travail, el servicio público de empleo francés (el antiguo Pôle emploi), con 5 millones de euros. El motivo: el ataque de marzo de 2024 expuso los datos de 36,8 millones de personas —nombres, números de la seguridad social, identificadores, direcciones, teléfonos— y el organismo había identificado en sus propios análisis de riesgos las medidas necesarias, sin llegar a desplegarlas nunca (Usine Digitale).

Ese mismo mes, la Urssaf —el organismo que recauda las cotizaciones sociales de todas las empresas francesas— anuncia una filtración que afecta a 12 millones de personas. En febrero, la DGFiP, la Hacienda francesa, reconoce que 1,2 millones de cuentas del fichero FICOBA —el registro nacional de todas las cuentas bancarias abiertas en Francia— han quedado expuestas: identidad, dirección y datos bancarios de los titulares. En abril, la ANTS, la agencia que expide los documentos de identidad, pasaportes, permisos de conducir y permisos de circulación, confirma un ciberataque sobre 11,7 millones de cuentas, y el Ministerio de Educación francés una intrusión a través de ÉduConnect, el portal de acceso de alumnos y padres, que afecta a millones de menores. En agosto, France VAE (el portal público de acreditación de la experiencia profesional) y, después, un proveedor de recursos humanos de France Travail (Wikipedia, lista 2026, dpo-partage.fr, Shattered).

No es una racha negra, es un régimen permanente. La CNIL recibió 6167 notificaciones de brechas en 2025, un récord, casi un 50 % más en dos años; unas cuarenta afectaban a más de un millón de personas cada una (Cyberini). Entre 2024 y 2025 quedaron expuestos más de 145 millones de registros de ciudadanos franceses, servicios públicos incluidos (Corbado).

¿Está Francia sola?

No, y eso hace el asunto más grave, no menos. El fenómeno es mundial: 425,7 millones de cuentas comprometidas en el mundo en 2025, y 210 millones solo en el primer trimestre de 2026, el peor trimestre jamás medido (Surfshark, seguimiento trimestral). Pero Francia ocupa un lugar aparte: la mayor densidad de filtraciones del mundo en 2025, doce veces la media mundial en proporción a la población; y en el primer semestre de 2026, 43,4 millones de cuentas francesas comprometidas, el 58 % de todas las cuentas comprometidas en Europa, segundo país del mundo por detrás de Estados Unidos (Surfshark, vía AzerNews). Estas cifras cuentan cuentas en bases de datos que circulan, no incidentes; aun así, colocan a Francia, sola, a la cabeza de todo un continente.

Los vecinos no se libran, y cada país tiene su «France Travail».

España. En mayo de 2024, una base de 34,5 millones de registros atribuida a la Dirección General de Tráfico (DGT) —nombres, direcciones, matrículas y vehículos de casi todos los conductores del país— se pone a la venta en un foro, justo después de las filtraciones de Santander, Iberdrola y Telefónica (Unitel, Yahoo Noticias). En enero de 2025, datos de la Guardia Civil y de las Fuerzas Armadas (PSN Sercon). Entre noviembre de 2025 y febrero de 2026, la propia Presidencia del Gobierno —la Moncloa— pasa un centenar de días sin protección frente a ataques avanzados; se filtran datos del presidente, de ministros y del jefe del Estado Mayor, además de las credenciales de cientos de policías y guardias civiles; la Comisión Europea abre un procedimiento contra España por no transponer la directiva NIS2 (Digital Perito). En agosto de 2026, un hacker pone a la venta lo que presenta como los datos de todos los pensionistas de la Seguridad Social española (INSS) —números de DNI, direcciones, datos bancarios—, una afirmación que el INSS no ha confirmado pero que los investigadores que la han examinado consideran plausible (Cybernews).

Italia. El ataque más grave no fue contra una administración, sino contra su proveedor: en mayo de 2026, Sistemi Informativi, la filial de IBM que gestiona desde hace décadas las infraestructuras de varios ministerios, del INPS (el organismo de pensiones y prestaciones sociales, el equivalente italiano de la Seguridad Social) y del INAIL (el seguro de accidentes laborales), es comprometida por el grupo chino Salt Typhoon, que permanece semanas dentro de los sistemas; la magnitud de la exfiltración no se ha cuantificado (Il Giornale, Tom's Hardware). Antes, la Región del Lacio —la región de Roma, que gestiona la sanidad de seis millones de habitantes— quedó paralizada en 2021 por un ransomware que entró por el portátil de un empleado y bloqueó citas, pagos y vacunaciones para millones de usuarios (Garante privacy), y la ASL de L'Aquila (la agencia sanitaria local, algo así como un área de salud) vio publicados sus historiales médicos en 2023. Los ataques contra la sanidad pública italiana se han más que duplicado entre 2023 y 2024 —se espera uno cada tres días en 2026 (Il Sole 24 Ore)— y, según el informe Clusit (la asociación italiana de seguridad informática, referencia anual del sector), las administraciones italianas sufrieron en 2025 el 10 % de los incidentes graves registrados en el mundo (TechPost).

Portugal. En octubre de 2024, un ransomware golpea a la AMA, la agencia de modernización administrativa que opera gov.pt (el portal de trámites en línea) y la Chave Móvel Digital (la identidad digital nacional, el equivalente portugués de FranceConnect), y deja fuera de servicio durante días el acceso a los trámites en línea; el Gobierno asegura que no se filtró ningún dato (Sábado). El país registró un récord de 2758 incidentes en 2024, y los ciberataques han aumentado más de un 700 % desde 2019 según el CNCS, el centro nacional de ciberseguridad portugués; hospitales, medios de comunicación y ayuntamientos ya se han visto afectados (CNCS vía Ajuda à Informática).

Tres países, el mismo patrón: ficheros nacionales muy centralizados en los que una sola brecha alcanza a decenas de millones de personas; proveedores compartidos cuya caída se convierte en la de todo el Estado; y una digitalización de los trámites más rápida que los medios para protegerla. No vas a cambiar ninguna de las tres cosas. Pero en cada uno de esos países rige la misma regla: lo que no has entregado no puede filtrarse.

Qué cambia para ti

Tú no eliges la seguridad de France Travail ni la de la ANTS. No puedes negarte a darles tu número de la seguridad social. Pero decides todo lo demás: qué adjuntas de más, en qué formato, por qué canal y cuántos terceros tocan el documento antes de que llegue.

Y hay un dato que estas filtraciones vuelven muy concreto: lo que se filtra casi nunca es una contraseña, es un perfil —nombre, dirección, número de la seguridad social, IBAN, empleador, situación—. Ese perfil sirve luego para estafas dirigidas (el falso empleado del banco que conoce tu banco y tu dirección) y para el robo de identidad, que afecta a varios cientos de miles de personas al año (beta.gouv.fr). Cada documento extra que has entregado «por si acaso» —un documento de identidad completo donde bastaba un certificado— completa ese perfil.

Seis reflejos, del más sencillo al más estructural.

1. Entregar solo lo necesario

Es el reflejo más eficaz y el menos practicado. Un documento que no se ha enviado no puede filtrarse.

• Lee la lista exacta de documentos que te piden y no entregues ninguno más. Para un expediente de alquiler en Francia, un decreto de 2015 limita lo que puede exigir el arrendador; para un trámite de la ANTS, la lista está en la página del propio trámite.
• Un documento por archivo, nunca «todo el expediente» en un solo PDF: no sabes qué servicio, qué proveedor o qué funcionario verá cada archivo.
• Quédate solo con las páginas útiles. El contrato de trabajo de quince páginas del que solo piden la primera; el extracto bancario del que solo importa una línea; la declaración de la renta de la que solo quieren la cifra de ingresos de referencia. Elimina páginas antes de enviar.
• Censura de verdad lo que no te piden: un IBAN en un extracto, un número de la seguridad social en una nómina cuando solo se requiere el salario. No con un rectángulo negro: con un método que aguante, y Censurar PDF lo hace en local.
• Prefiere los justificantes de un solo uso cuando existan: France Identité, la app de identidad digital del Estado francés, genera un certificado de identidad válido una sola vez para un destinatario concreto, a partir del carné de nuevo formato (francenum.gouv.fr). Un certificado que se filtra no le sirve a nadie.

2. Marca de agua en cada copia

Una copia del documento de identidad marcada con «Exclusivamente para la ANTS — solicitud de pasaporte — 12/09/2026» no puede abrir una cuenta ni contratar un crédito. Si aparece en una filtración, dice de dónde ha salido. El propio Estado francés lo recomienda y lanzó FiligraneFacile para eso (France Travail).

Qué hay que escribir (uso, destinatario, fecha) y cómo aplicarla en tu navegador sin enviar el documento a ningún sitio —ni siquiera al servidor de FiligraneFacile— lo explicamos en Por qué poner una marca de agua a tu documento de identidad. Herramienta: Marca de agua PDF.

Vale para las nóminas, la declaración de la renta, el RIB (el certificado de cuenta bancaria francés), el libro de familia: todo lo que, combinado, forma un expediente de robo de identidad.

3. Una dirección de correo por servicio: el «+» que rastrea las filtraciones

En la mayoría de los proveedores (Gmail, Outlook, iCloud, Proton, Fastmail), todo lo que va después de un + en la parte local de la dirección se ignora en la entrega: marie.durand+ants@gmail.com llega al buzón de marie.durand@gmail.com. Usa una variante por servicio: +francetravail, +urssaf, +impots, +casero2026.

Tres efectos:

• Sabrás de dónde viene la filtración. El día que llegue un phishing a +urssaf, la pregunta «¿quién ha dejado escapar mi dirección?» tiene respuesta.
• Filtras. Un correo que dice venir de France Travail pero dirigido a +impots es falso, sin necesidad de leer una sola línea.
• Puedes cortar. Una regla del correo manda +casero2026 a la papelera cuando el alquiler ya está firmado.

Límites que conviene conocer: algunos formularios rechazan el + (validación de dirección demasiado estricta) y un estafador avispado puede quitarlo. Para esos casos, los alias son más robustos: Firefox Relay, SimpleLogin, «Ocultar mi correo» de Apple o los alias nativos de Proton y Fastmail generan una dirección distinta por servicio, redirigida a la tuya y desactivable con un clic.

La misma lógica vale para el teléfono: un número secundario (segunda SIM, número virtual) para los trámites, y un número personal que no figure en ninguna base de datos.

4. Una contraseña por servicio, y verificación en dos pasos en todas partes

Lo que se filtra sirve para entrar en otro sitio. Una contraseña única por servicio, en un gestor (el del navegador basta para empezar), y la verificación en dos pasos en cuanto la ofrezcan: FranceConnect, el sistema de identificación único de los servicios públicos franceses, la ofrece, como la mayoría de los portales públicos desde que la CNIL exige la doble autenticación en cualquier base de datos de más de un millón de personas (Fiduciaire Yadan).

Y una regla sencilla: nunca des un código recibido por SMS a alguien que te llama, sea cual sea el nombre que aparezca en pantalla. Ningún gestor, ninguna administración lo pide.

5. No añadir un tercero a la cadena

Este es el punto que este artículo añade a los consejos habituales. Cada vez que preparas un documento para un trámite —comprimirlo para bajar del límite de 1 MB de la ANTS, convertirlo a PDF, unirlo a otro—, decides si añades, o no, un servidor más entre tú y la administración.

El conversor en línea «gratis» en el que comprimes tu documento de identidad guarda el archivo una o dos horas en una nube sin nombre, bajo una jurisdicción que no conoces (hemos leído sus condiciones). Acabas de duplicar el número de organizaciones que pueden filtrar tu documento, para ahorrar treinta segundos.

Todas las operaciones de preparación —comprimir, convertir una foto, eliminar páginas, girar, poner marca de agua, censurar— se ejecutan en PDFKami dentro de tu navegador, sin envío; puedes hacerlo en modo avión. El único servidor que recibirá el documento es el de la administración, porque no hay otra forma de hacerlo.

6. Saber si te afecta, y qué hacer después

• Comprueba tus direcciones en haveibeenpwned.com, que recopila las filtraciones públicas. Con direcciones +servicio, sabrás además cuál se ha filtrado.
• Lee las notificaciones: los organismos están obligados a informarte cuando una filtración supone un riesgo alto. El correo de France Travail o de la Urssaf no es spam, pero comprueba que no contenga ningún enlace en el que hacer clic; los auténticos remiten a la web oficial, que debes teclear tú mismo.
• Tras una filtración que te afecte: cambia la contraseña del servicio y la de cualquier otro donde la reutilizaras; vigila tus cuentas bancarias y tu buzón de correo; desconfía, durante meses, de las llamadas y correos que «conocen» tus datos: es justo lo que se ha filtrado.
• En caso de robo de identidad: presenta una denuncia, avisa en cybermalveillance.gouv.fr, la plataforma pública francesa de ayuda a las víctimas de ciberdelitos, y contacta con la CNIL. Una marca de agua en tus copias es, en ese momento, la prueba de dónde salió la copia utilizada.

Lo que estas filtraciones no deben llevarte a hacer

Renunciar a los trámites en línea no es posible ni deseable; el correo postal no es más seguro y es más lento. El reflejo correcto no es la desconfianza, es la sobriedad: dar lo que te piden, en un formato que solo sirva para lo que te piden, por un canal que no multiplique los intermediarios. No vas a arreglar el sistema informático de France Travail. Sí puedes conseguir que lo que contiene sobre ti sea el mínimo imprescindible.

Notas: los organismos citados

Para los lectores que no los conozcan, y para las versiones traducidas de este artículo.

Francia

• CNIL: Commission nationale de l'informatique et des libertés, la autoridad de protección de datos personales; recibe las notificaciones de brechas y dicta las sanciones.
• France Travail: el servicio público de empleo, antes Pôle emploi, que gestiona la inscripción de los demandantes de empleo y el pago de las prestaciones por desempleo.
• Urssaf: el organismo que recauda las cotizaciones sociales de empresas y autónomos; tiene los datos de todos los asalariados y empleadores.
• DGFiP y FICOBA: la Direction générale des finances publiques es la Hacienda francesa; FICOBA es el fichero nacional que registra todas las cuentas bancarias abiertas en Francia y sus titulares.
• ANTS: Agence nationale des titres sécurisés, que expide documentos de identidad, pasaportes, permisos de conducir y permisos de circulación.
• ÉduConnect: el portal de acceso único de alumnos y padres a los servicios del Ministerio de Educación francés.
• HubEE / DINUM: HubEE es una plataforma de intercambio de trámites entre administraciones, operada por la Direction interministérielle du numérique, el departamento de informática del Estado francés.
• France VAE: el portal público de acreditación de la experiencia profesional (validation des acquis de l'expérience).
• FranceConnect: el sistema de identificación único para los servicios públicos en línea.

España

• DGT: Dirección General de Tráfico, el organismo estatal de permisos de conducir y matriculaciones.
• Moncloa: el palacio y los servicios de la Presidencia del Gobierno.
• INSS: Instituto Nacional de la Seguridad Social, el organismo de pensiones y prestaciones sociales.
• DNI: Documento Nacional de Identidad, cuyo número sirve de identificador en la mayoría de los trámites.
• NIS2: directiva europea sobre ciberseguridad de las entidades esenciales, que cada Estado debe transponer a su derecho nacional.

Italia

• INPS: Istituto Nazionale della Previdenza Sociale, el organismo de pensiones y prestaciones sociales.
• INAIL: Istituto Nazionale Assicurazione Infortuni sul Lavoro, el seguro de accidentes laborales.
• Regione Lazio: la región de Roma, competente en el sistema sanitario regional.
• ASL: Azienda Sanitaria Locale, la agencia sanitaria local que gestiona la atención en un territorio.
• Clusit: Associazione Italiana per la Sicurezza Informatica, cuyo informe anual es la referencia del sector.
• Salt Typhoon: grupo de atacantes vinculado a la inteligencia china, ya responsable de intrusiones en operadoras de telecomunicaciones estadounidenses.

Portugal

• AMA: Agência para a Modernização Administrativa, que opera los servicios digitales del Estado.
• gov.pt y Chave Móvel Digital: el portal de trámites en línea y la identidad digital nacional.
• CNCS: Centro Nacional de Cibersegurança, el centro nacional de ciberseguridad.