Cyberattacco al fisco francese: dati di 678mila contribuenti rubati

🌐 Cyberattacco al fisco francese: l’intrusione nei sistemi della DGFiP ha esposto i dati di circa 678mila contribuenti tra privati e professionisti. L’inchiesta ora dovrà chiarire come gli hacker siano riusciti a entrare, quali informazioni abbiano realmente sottratto e perché la violazione sia emersa solo settimane dopo.

Un attacco informatico ha trasformato per la Francia una delle sue più importanti banche dati fiscali in un potenziale bersaglio per truffatori, criminali informatici e operatori specializzati nel furto di identità. Circa 678mila contribuenti francesi, tra cittadini e professionisti, risultano coinvolti nella sottrazione di informazioni dai sistemi della Direzione generale delle Finanze pubbliche, la DGFiP.

Il dato rende l’episodio particolarmente delicato non soltanto per la sua dimensione, ma soprattutto per la natura delle informazioni finite nelle mani degli aggressori. Non si parla infatti di una semplice lista di indirizzi email: tra i dati consultati o estratti figurano identità, indirizzi e informazioni relative alla situazione fiscale e ai redditi.

La vicenda è ora nelle mani della Procura di Parigi, mentre le autorità francesi stanno cercando di ricostruire la catena dell’intrusione. L’accesso illecito sarebbe avvenuto a giugno attraverso le credenziali compromesse di un dipendente. La violazione era stata individuata e l’accesso bloccato, ma soltanto successivamente è emerso che gli aggressori erano riusciti a consultare ed estrarre dati.

È questo uno degli aspetti più inquietanti della vicenda: l’attacco non è stato necessariamente scoperto quando i dati venivano sottratti. La consapevolezza dell’effettiva esfiltrazione è arrivata dopo, quando un presunto hacker ha rivendicato pubblicamente l’operazione.

Come è avvenuto il cyberattacco alla DGFiP

La ricostruzione iniziale indica un elemento ormai ricorrente nelle grandi violazioni informatiche: le credenziali di un utente legittimo.

Secondo le informazioni diffuse dalle autorità francesi, a giugno era stata rilevata un’intrusione nell’account di un dipendente della DGFiP. L’accesso era stato rapidamente interrotto e, nelle prime verifiche, l’amministrazione non aveva rilevato la sottrazione di informazioni.

Le indagini successive hanno però cambiato il quadro.

L’accesso non autorizzato avrebbe consentito di consultare e prelevare dati appartenenti sia a persone fisiche sia a soggetti professionali. La DGFiP ha quindi adottato ulteriori restrizioni sui propri sistemi e avviato un’analisi più approfondita per stabilire l’esatta portata della violazione.

Il meccanismo è significativo perché dimostra quanto sia diventato difficile proteggere una grande infrastruttura pubblica semplicemente attraverso il blocco degli accessi sospetti.

Un aggressore che riesce a utilizzare credenziali apparentemente valide può infatti muoversi all’interno di un sistema con un livello di legittimità molto superiore rispetto a quello garantito da un attacco frontale.

La password rubata, in molti casi, è più utile di una vulnerabilità spettacolare.

Il numero di 678mila vittime e cosa è stato rubato

La cifra di 678mila contribuenti rappresenta il cuore della vicenda.

Il patrimonio informativo coinvolto comprende dati che possono avere un valore elevato per chi vuole costruire campagne di phishing personalizzate. Secondo le ricostruzioni disponibili, tra le informazioni interessate ci sono nomi, cognomi, indirizzi, reddito fiscale di riferimento e aliquote applicate. Non risulterebbero invece esposti i dati necessari per accedere direttamente agli spazi personali dei contribuenti, né le dichiarazioni fiscali complete.

La distinzione è fondamentale.

Un conto è sapere quanto una persona dichiara al fisco o conoscere il suo indirizzo. Un altro è possedere le credenziali necessarie per entrare nel suo account fiscale.

Il secondo scenario non è quello emerso finora.

Questo, però, non significa che il primo sia innocuo.

Un database contenente informazioni fiscali può diventare uno strumento estremamente efficace per realizzare frodi più credibili. Un criminale che conosce il nome di una persona, il suo indirizzo e alcuni dettagli sulla sua situazione fiscale può costruire un messaggio molto più convincente di una generica email truffaldina.

Il rischio maggiore potrebbe quindi manifestarsi non nel momento stesso della fuga, ma nelle settimane o nei mesi successivi.

Perché i dati fiscali sono così preziosi per i criminali

Un attacco di questo tipo non deve necessariamente servire a svuotare immediatamente un conto bancario.

Il valore può essere molto più indiretto.

Le informazioni rubate possono essere utilizzate per ingegneria sociale, phishing mirato e tentativi di furto d’identità. Un messaggio che contiene informazioni fiscali reali può apparire molto più autentico agli occhi della vittima.

Immaginiamo, per esempio, di ricevere una comunicazione che cita correttamente il nostro nome, il nostro indirizzo e un riferimento alla situazione fiscale. Il messaggio potrebbe invitare a verificare un presunto rimborso, correggere un dato o completare una procedura.

La persona potrebbe abbassare le proprie difese proprio perché alcuni dettagli sono effettivamente veri.

È il passaggio più pericoloso delle grandi fughe di dati: l’informazione sottratta non deve essere sufficiente a entrare direttamente in un account per diventare utile a un criminale.

Può essere utilizzata come tessera di un mosaico.

E più tessere possiede l’aggressore, più convincente può diventare la truffa.

L’hacker ha messo i dati in vendita

A far emergere pubblicamente la portata dell’incidente è stata la rivendicazione di un presunto hacker, che si sarebbe presentato con lo pseudonimo “ZeroBytes”.

Il 12 agosto l’autore della rivendicazione avrebbe dichiarato di essere riuscito a ottenere i dati e di averli messi in vendita per alcune migliaia di euro.

È un passaggio che modifica completamente la natura della vicenda.

Fino a quel momento l’incidente poteva essere considerato soprattutto un problema tecnico interno alla pubblica amministrazione. Con la messa in vendita dei dati, il rischio diventa invece quello di una distribuzione ulteriore delle informazioni.

Il problema, inoltre, è che una volta copiati i dati è quasi impossibile riportarli nella condizione precedente.

Un database può essere cancellato dai server dell’amministrazione, gli accessi possono essere chiusi e le password possono essere cambiate. Ma una copia già scaricata da un aggressore non può essere “ritirata” dalla rete con la stessa facilità.

Le autorità dovranno quindi capire non soltanto chi abbia realizzato l’intrusione, ma anche se i dati siano stati trasferiti ad altri soggetti e se la vendita abbia effettivamente avuto luogo.

La procura di Parigi indaga sul furto

L’apertura dell’inchiesta giudiziaria porta la vicenda su un piano ulteriore.

Gli investigatori dovranno ricostruire il percorso dell’aggressore all’interno dei sistemi informatici, individuare le credenziali utilizzate, stabilire quali infrastrutture siano state raggiunte e determinare l’eventuale presenza di una rete criminale organizzata.

Il compito è particolarmente complesso perché in un attacco informatico le tracce possono essere distribuite su server, servizi e infrastrutture collocate in Paesi diversi.

Anche l’identità pubblicizzata dal presunto hacker non costituisce, naturalmente, una prova dell’identità reale dell’autore.

L’indagine dovrà distinguere tra ciò che l’aggressore sostiene di aver ottenuto e ciò che gli investigatori riescono effettivamente a verificare.

È una cautela importante, perché nei forum criminali non sono rare le rivendicazioni gonfiate, gli annunci di database inesistenti o la vendita di informazioni provenienti da violazioni precedenti.

In questo caso, tuttavia, le autorità francesi hanno confermato che l’accesso illecito ha effettivamente permesso la consultazione e l’estrazione di dati.

La Francia aumenta i controlli sulla cybersicurezza

L’attacco arriva inoltre dopo un altro grave episodio che aveva già coinvolto la DGFiP nel 2026.

A febbraio l’amministrazione fiscale francese aveva comunicato un accesso illecito a una parte del FICOBA, il registro nazionale che raccoglie informazioni sui conti bancari aperti presso gli istituti francesi. In quel caso l’amministrazione aveva spiegato che l’attore malevolo aveva utilizzato le credenziali di un funzionario e che l’incidente aveva riguardato dati relativi a circa 1,2 milioni di conti.

La coincidenza rende l’ultimo attacco ancora più delicato.

Non significa automaticamente che i due episodi siano collegati. Non ci sono elementi sufficienti per affermarlo.

Ma entrambi mostrano un problema comune: l’utilizzo illecito di credenziali legittime può consentire di raggiungere archivi pubblici estremamente sensibili.

E proprio questo rappresenta una delle sfide più difficili per la sicurezza informatica moderna.

L’audit dell’ANSSI dovrà spiegare cosa non ha funzionato

Parallelamente all’inchiesta giudiziaria è stato annunciato un audit sulla cybersicurezza affidato all’ANSSI, l’Agenzia nazionale francese per la sicurezza dei sistemi informativi.

L’obiettivo non sarà soltanto attribuire responsabilità, ma comprendere perché i meccanismi di sicurezza non siano riusciti a impedire l’estrazione dei dati o a rilevarla tempestivamente.

È un punto cruciale.

La sicurezza di un sistema pubblico non può essere valutata esclusivamente sulla base della capacità di bloccare un accesso abusivo.

Bisogna anche essere in grado di capire cosa accade dopo.

Un sistema realmente resiliente dovrebbe poter rispondere a domande molto precise: quale account è stato utilizzato? Quali dati ha consultato? Quanti record sono stati aperti? Quali file sono stati copiati? Da quale dispositivo? In quale momento? E soprattutto, quali informazioni sono uscite effettivamente dall’infrastruttura?

Il ministero delle Finanze ha annunciato che i risultati dell’audit saranno trasmessi alle commissioni Finanze dell’Assemblea nazionale e del Senato.

Cosa devono fare i contribuenti coinvolti

La prima conseguenza concreta per i cittadini riguarda la necessità di alzare il livello di attenzione verso messaggi, telefonate ed email apparentemente provenienti dal fisco francese.

La DGFiP ha annunciato che le persone interessate saranno contattate individualmente e riceveranno indicazioni sulle informazioni che potrebbero essere state consultate o estratte.

Ma proprio questa comunicazione dovrà essere gestita con cautela.

Una delle conseguenze paradossali di una fuga di dati è che anche le comunicazioni autentiche possono diventare terreno fertile per nuove truffe. Un criminale potrebbe sfruttare la notizia stessa dell’attacco per inviare falsi messaggi alle potenziali vittime.

La regola più importante resta quindi semplice: non cliccare automaticamente sui link contenuti nelle email e non fornire password, codici di autenticazione o dati bancari in risposta a messaggi inattesi.

La CNIL, l’autorità francese per la protezione dei dati, ha inoltre avvertito in altre occasioni che le vittime di violazioni possono essere contattate da falsi servizi che promettono di cancellare i loro dati dalla rete. Anche in questo caso l’indicazione è di non rispondere e di non fornire ulteriori informazioni personali.

Il vero rischio potrebbe arrivare dopo l’attacco

La sottrazione di 678mila profili fiscali non rappresenta soltanto un incidente informatico.

È una potenziale risorsa criminale di lungo periodo.

Il valore di un archivio di questo tipo non dipende necessariamente dalla possibilità di accedere direttamente ai conti delle vittime. Può derivare dalla capacità di combinare informazioni fiscali, anagrafiche e di contatto con altri database già disponibili sul mercato clandestino.

Nome, indirizzo, reddito e situazione fiscale possono trasformare una truffa generica in una comunicazione costruita su misura.

E questo porta a una considerazione più ampia.

Le grandi amministrazioni pubbliche possiedono ormai quantità enormi di dati sulla vita dei cittadini: redditi, proprietà, conti, indirizzi, rapporti con lo Stato e informazioni professionali.

Questi archivi sono indispensabili per il funzionamento della macchina pubblica, ma proprio per questo sono diventati obiettivi di enorme valore.

La cybersicurezza non riguarda quindi più soltanto la protezione dei computer di un’amministrazione.

Riguarda la protezione di una parte digitale dell’identità di milioni di persone.

Un nuovo campanello d’allarme per le infrastrutture pubbliche

Il caso francese mostra infine quanto sia cambiata la natura delle minacce informatiche.

Non serve necessariamente un attacco spettacolare capace di mandare in tilt un intero ministero.

A volte è sufficiente entrare attraverso un’identità valida, restare inosservati e copiare lentamente informazioni preziose.

È uno scenario meno cinematografico, ma potenzialmente molto più pericoloso.

La Francia dovrà ora rispondere a tre domande decisive: come sono state compromesse le credenziali, perché l’estrazione dei dati non è stata individuata immediatamente e quali ulteriori informazioni potrebbero essere state raggiunte dall’aggressore.

L’inchiesta giudiziaria dovrà stabilire le responsabilità. L’audit dell’ANSSI dovrà invece individuare le vulnerabilità e indicare come correggerle.

Per i cittadini, il problema è più immediato: imparare a diffidare di comunicazioni che, proprio perché contengono informazioni personali autentiche, potrebbero sembrare più credibili.

Il dato dei 678mila contribuenti racconta dunque soltanto una parte della storia.

La vera partita si gioca adesso, nel tentativo di impedire che una fuga di dati fiscali si trasformi in centinaia di migliaia di nuove occasioni per phishing, frodi e furti d’identità.