Ataques cibernéticos na França, o que os vazamentos de 2026 revelam?
Em 30 de setembro de 2026, a ANSSI publicou o primeiro balanço da operação REACTIV. O documento contabiliza 99 notificações de violação de dados em serviços do Estado francês desde 1º de agosto daquele ano. Dessas, 67 já estavam confirmadas.
O número impressiona. A conclusão técnica, porém, pesa mais do que ele.
Segundo a Agência, a maior parte desses ataques cibernéticos na França não explorou técnicas avançadas. Os invasores encontraram senhas vazadas, autenticação multifator ausente, correções não aplicadas e acessos de parceiros sem controle. Em vários casos, a organização só descobriu o incidente depois que o criminoso publicou a reivindicação.
Para quem responde por segurança no Brasil, esse detalhe importa mais que a geografia. Afinal, ele expõe uma lacuna que não se resolve comprando mais uma ferramenta.
O cenário dos ataques cibernéticos na França
Antes de olhar para os casos de 2026, vale entender a linha de base dos ataques cibernéticos na França. No Panorama da ameaça cibernética referente a 2025, a ANSSI relatou 3.586 eventos de segurança tratados, uma queda de 18% sobre 2024. A Agência atribui a redução ao pico registrado durante os Jogos Olímpicos de Paris.
O indicador mais relevante, porém, ficou estável. A ANSSI confirmou 1.366 incidentes em 2025, contra 1.361 em 2024. Vale explicar o que isso significa. A Agência classifica como incidente o caso em que confirma ação bem-sucedida de um agente malicioso no sistema da vítima.
Quatro setores concentraram 76% desses incidentes. Educação e pesquisa responderam por 34%, ministérios e coletividades territoriais por 24%, saúde por 10% e telecomunicações por 9%.
Um dado específico merece destaque. As exfiltrações de dados saltaram de 130 incidentes em 2024 para 196 em 2025. Ou seja, o roubo de informação cresceu enquanto o ransomware ficou praticamente estável, com 128 comprometimentos.
A autoridade francesa de proteção de dados registrou movimento parecido. Em 2025, a CNIL contabilizou 6.167 notificações de violação, contra 5.629 em 2024. Essa alta de 9,5% representa um recorde para a Agência.
Quais foram os principais ataques cibernéticos na França em 2026
Os incidentes de agosto de 2026 atingiram sobretudo serviços públicos. A seguir, os casos que a ANSSI confirmou e que oferecem aprendizado prático.
Educação Nacional e a base GAIA
A exfiltração, detectada no fim de julho de 2026, envolveu uma base com cerca de 4,35 milhões de professores. O volume coloca o caso entre os maiores do período.
DGFiP e o cadastro imobiliário
A administração fiscal francesa aparece entre as organizações atingidas, assim como o cadastro imobiliário. Neste último, segundo a ANSSI, os invasores usaram a conta comprometida de um geômetra-expert de um escritório privado.
Esse segundo caso ilustra bem o ponto. O atacante não derrubou a porta. Ele entrou com a chave de um parceiro.
Em ambos os casos, o acesso ocorreu em serviços expostos sem autenticação em dois fatores.
Setor de saúde
Os Hospices Civils de Lyon tornaram público, em 6 de agosto de 2026, um incidente ocorrido em um prestador externo. A instituição informou que seu próprio sistema não foi atingido e que a base envolvida vinha de uma migração técnica de 2020. Segundo o hospital, nenhum dado médico de paciente constava do material. A CNIL foi notificada e as pessoas afetadas receberam comunicação individual.
Outros dois casos do setor circularam em agosto, envolvendo Santé publique France e Inserm. Em ambos, a informação veio de reivindicação publicada em fórum criminoso. Até a data desta apuração, nenhuma das duas instituições havia confirmado o volume divulgado pelos atacantes. Por isso, este artigo não reproduz esses números.
A falha no Metabase
A ANSSI identificou a exploração da vulnerabilidade CVE-2026-72898, de injeção SQL, presente em uma ferramenta de análise de dados usada por diversos serviços públicos. A falha recebeu nota 10 na escala CVSS, a máxima. Nove instâncias ministeriais foram comprometidas.
Vale registrar o detalhe mais desconfortável. A Metabase publicou a correção em 6 de agosto de 2026, e a exploração seguiu acontecendo depois disso. O CERT-FR emitiu o alerta CERTFR-2026-ALE-010 apenas em 10 de setembro.
Nem a própria ANSSI escapou. Segundo o relatório, o laboratório de inovação da Agência teve 118 contas comprometidas pela mesma falha.
Engie
No fim de outubro de 2026, a companhia de energia informou ter detectado acessos não autorizados. O alvo foi uma ferramenta comercial usada por parceiros para prospectar e vender ofertas. Segundo a empresa, seu sistema de informação interno não foi comprometido e nenhum dado bancário foi exposto.
A exposição alcançou nome, endereço postal e eletrônico, telefone, identificador de cliente, número de contrato e referências dos pontos de entrega. A Engie não divulgou quantos clientes foram atingidos.
Um caso ainda não confirmado
Em outubro de 2026, um ator que se identifica como ChimeraZ alegou ter obtido dados ligados a cerca de 13,9 milhões de placas de veículos. A origem citada é uma empresa de agendamento para centros de inspeção técnica. Até o fechamento desta apuração, não havia confirmação oficial da empresa nem de autoridades. Portanto, trata-se de alegação, e não de incidente confirmado.
A distinção não é detalhe formal. Reivindicações inflacionadas são comuns, e a própria ANSSI confirmou a veracidade de apenas 80 das reivindicações de vazamento que analisou em 2025.
Quais são os principais riscos para as organizações
Os ataques cibernéticos na França ajudam a separar o que já aconteceu do que ainda pode acontecer.
Riscos confirmados nos incidentes analisados. Exposição de dados pessoais em larga escala. Comprometimento de contas legítimas, com acesso prolongado antes da detecção. Entrada por meio de prestadores e parceiros com acesso ao ambiente.
Riscos potenciais, associados a esse tipo de exposição. Uso dos dados em campanhas de phishing direcionado. Tentativas de fraude com informações de contato e contrato. Exposição regulatória perante autoridades de proteção de dados.
Vale uma ressalva metodológica. Nenhuma das fontes oficiais consultadas divulgou cifras de prejuízo financeiro para esses incidentes. Por isso, este artigo não atribui perdas monetárias a nenhum dos casos.
Há ainda um risco menos visível e mais corrosivo. A organização que descobre o incidente pela publicação do criminoso perde o tempo que teria para conter o acesso e avaliar o alcance.
O que as empresas brasileiras podem aprender com os ataques cibernéticos na França
Convém começar pelo que não se deve concluir. O cenário francês tem particularidades próprias, com forte concentração em serviços do Estado e em um conjunto específico de ferramentas. Nada disso significa que o Brasil enfrente exatamente os mesmos riscos ou que esses ataques necessariamente se repetirão por aqui.
Mesmo assim, três aprendizados atravessam qualquer contexto.
O primeiro é a natureza do vetor. A ANSSI descreve falhas correntes, e não técnicas de elite. Credencial vazada, MFA ausente, correção não aplicada e acesso de terceiro sem controle aparecem repetidamente. Portanto, a maturidade do básico vale mais que o próximo item da lista de compras.
O segundo é o papel do terceiro. Tanto no cadastro francês quanto na Engie, o ponto de entrada ficou fora do perímetro próprio. Em outras palavras, o inventário de acessos concedidos a parceiros merece o mesmo rigor aplicado ao acesso interno.
O terceiro é o tempo de detecção. Vários incidentes vieram à tona por publicação do atacante. Essa é a diferença entre um acesso contido em horas e um acesso que durou semanas.
A ANSSI, aliás, foi explícita ao recomendar a análise da atividade de uma conta desde a data presumida do comprometimento, a cada notificação recebida. Esse trabalho é investigativo, repetitivo e intenso em mão de obra. Nenhuma organização o sustenta no improviso.
Como fortalecer a proteção contra ataques cibernéticos
As medidas a seguir combinam boas práticas consolidadas com as recomendações atribuídas à ANSSI no relatório sobre o incidente da DGFiP. Fontes especializadas francesas reproduziram essa lista.
- Aplique correções de segurança com prazo definido, sobretudo em ferramentas expostas à internet.
- Exija autenticação multifator robusta, evitando segundo fator baseado apenas em e-mail.
- Restrinja aplicações internas a equipamentos administrados, por VPN dedicada.
- Conceda acesso a parceiros apenas por VPN ou lista de endereços autorizados.
- Defina quotas por usuário, considerando volume de dados e número de requisições.
- Supervisione todas as aplicações em um SIEM, com correlação de sinais fracos.
- Encerre sessões abertas ao redefinir senhas e higienize o equipamento infectado.
- Investigue a causa raiz sempre que houver comprometimento repetido.
- Treine as equipes e mantenha plano de resposta testado.
Note que nenhuma dessas medidas funciona isolada. Os ataques cibernéticos na França mostram que a segurança depende de estratégia integrada, e não da adoção de uma ferramenta específica. Monitorar vazamentos de credenciais, por exemplo, ajuda. Sozinho, porém, não resolve.
Onde entra o EVAL Shield
O balanço dos ataques cibernéticos na França deixa claro que o gargalo não está apenas em impedir a entrada. Está em perceber o que já entrou e agir antes que o acesso vire incidente.
É exatamente esse intervalo que o EVAL Shield endereça. A Eval descreve a solução como uma plataforma de segurança agêntica criada para investigar incidentes, executar respostas e manter a rastreabilidade das ações. O objetivo declarado é ampliar a capacidade operacional do SOC.
A plataforma organiza esse trabalho em três frentes. O SYNC faz a ingestão e o enriquecimento automatizados de inteligência a partir de múltiplas fontes. Já o FOCUS prioriza por contexto e risco, o que reduz o ruído operacional. Por fim, o ACT orquestra a resposta sob governança Zero Trust, com validação contínua.
Vale um esclarecimento sobre o encaixe. O EVAL Shield se conecta às ferramentas que a organização já utiliza, como EDR, Threat Intelligence, SIEM e SOAR. Ou seja, ele acrescenta capacidade de investigação e resposta autônoma sem substituir o que já está implantado.
Convém registrar também o que a solução não faz. Nenhuma plataforma elimina o risco de invasão, e o EVAL Shield não corrige por conta própria um MFA mal configurado ou um servidor sem atualização. O que ele endereça é a etapa seguinte, quando o sinal já existe e alguém precisa investigar, decidir e agir.
Conclusão
Os ataques cibernéticos na França não se explicam por genialidade técnica dos invasores. Eles aproveitaram portas abertas e sinais que ninguém leu a tempo.
Essa combinação não é exclusividade da França. Qualquer organização que acumule ferramentas de segurança sem capacidade de investigação corre o risco de descobrir o próprio incidente pela publicação de um criminoso.
Por isso, a lição mais útil não está na lista de vítimas. Está na constatação de que prevenção e resposta são disciplinas diferentes, e que a segunda costuma receber menos investimento do que merece.
Fortalecer essa etapa é um trabalho contínuo. Começa pelo básico bem feito e avança para a capacidade de transformar alerta em ação no tempo certo.
Conheça o EVAL Shield e avalie, com a sua própria equipe, quanto tempo hoje separa a detecção da resposta no seu ambiente. Fale com nossos especialistas.
Fontes e referências
- ANSSI / CERT-FR. Point de situation de l’opération REACTIV, CERTFR-2026-CTI-006. Publicado em 30 de setembro de 2026. Sustenta os números de 99 notificações e 67 violações confirmadas, os vetores de ataque iniciais e os volumes por organização.
- ANSSI / CERT-FR. Panorama de la cybermenace 2025, CERTFR-2026-CTI-002. Sustenta os dados de 3.586 eventos, 1.366 incidentes, distribuição por setor, 128 comprometimentos por ransomware e 196 exfiltrações.
- Next, 1º de outubro de 2026. Sustenta os números do REACTIV, os vetores iniciais, as nove instâncias ministeriais e as 118 contas do laboratório de inovação da ANSSI.
- Next, 19 de maio de 2026, com dados do relatório anual da CNIL. Sustenta as 6.167 notificações em 2025, as 5.629 de 2024 e a alta de 9,5%.
- Solutions Numériques, 1º de outubro de 2026. Sustenta a análise sobre a baixa sofisticação dos ataques e o detalhamento da falha no Metabase.
- IT-Connect, 1º de outubro de 2026. Sustenta a data do correctivo do Metabase, em 6 de agosto de 2026, e a do alerta CERTFR-2026-ALE-010, em 10 de setembro.
- Tenable, registro da CVE-2026-72898. Sustenta o tipo de vulnerabilidade e a nota CVSS 10.
- Cyber Corsica, análise do relatório REACTIV. Sustenta a lista de recomendações atribuídas ao relatório da ANSSI sobre a DGFiP.
- Fuites Infos, 6 de agosto de 2026. Sustenta o incidente confirmado nos Hospices Civils de Lyon, sua origem em prestador externo e a ausência de dados médicos.
- InCyber News, 12 de agosto de 2026. Sustenta que o caso de Santé publique France é reivindicação não confirmada pela instituição.
- Le Monde Informatique, 29 de outubro de 2026. Sustenta a declaração da Engie e a lista de dados expostos.
- L’Argus, 2 de novembro de 2026. Sustenta a existência da alegação não confirmada envolvendo dados de placas de veículos
