Un hacker que opera bajo el alias ChimeraZ ha afirmado haber obtenido y publicado más de 11.000 registros vinculados al ámbito de la Autorité des marchés financiers (AMF), el regulador bursátil francés. La afirmación apareció en una publicación de foro titulada "[FR] 11K AMF-FRANCE.ORG", que hace referencia a un archivo de aproximadamente 49 megabytes con 11.173 registros.

El medio de ciberseguridad FrenchBreaches examinó la afirmación y, en un informe publicado el viernes 30 de octubre, no encontró evidencia de que los sistemas propios de la AMF hubieran sido vulnerados. Según el medio, la muestra revisada consiste en gran parte en datos ya accesibles a través de los canales públicos del regulador.

Qué contiene la muestra

El material examinado por FrenchBreaches hace referencia al fondo FORTITUDE, gestionado por SOGELYM DIXENCE INVESTMENT MANAGEMENT, con CACEIS Bank como depositario. Más allá de estos nombres, la muestra incluye denominaciones, referencias regulatorias, direcciones de sedes, identificadores de entidades y fechas de actualización: el tipo de información administrativa habitualmente asociada a vehículos de inversión registrados y sociedades gestoras.

FrenchBreaches informó de que no encontró contraseñas, datos bancarios personales ni saldos o registros de transacciones de inversores individuales en ninguna parte de los datos revisados.

Un detalle señalado por el medio es un campo técnico dentro de los datos filtrados que contiene la mención "affichageGeco". GECO es la propia base de datos de consulta pública de la AMF para productos de inversión colectiva y sociedades gestoras. Su interfaz ya muestra nombres, números de autorización, direcciones y datos de contacto profesional de entidades registradas, e incluye una función de exportación específica para sociedades gestoras, el tipo de función que podría generar plausiblemente un archivo similar al difundido por ChimeraZ.

Una afirmación sin intrusión confirmada

En conjunto, los elementos documentados por FrenchBreaches apuntan a un conjunto de datos construido a partir de material que la AMF ya pone a disposición del público a través de GECO, más que a una evidencia de acceso no autorizado a los sistemas internos del regulador. El informe del medio no determina cómo ChimeraZ compiló el archivo ni si alguna parte de este queda fuera de lo que normalmente devolvería la herramienta de exportación de GECO.

Por ahora, el episodio ilustra un patrón recurrente en este tipo de afirmaciones: una cifra llamativa de miles de registros "robados" que, tras un examen más detallado, coincide en buena medida con información que un regulador ha decidido publicar él mismo con fines de transparencia. No se ha establecido confirmación alguna de un compromiso real de la infraestructura de la AMF.