La DGFiP, l’amministrazione fiscale francese, ha confermato una violazione che riguarda 678.000 contribuenti, tra privati e imprese. Il caso è emerso il 12 agosto, quando un attaccante con lo pseudonimo «ZeroBytes» ha rivendicato l’intrusione su un forum criminale e messo in vendita i dati. Per la Francia è il secondo grande incidente in un ente pubblico nel giro di pochi mesi, dopo il portale dei documenti d’identità ad aprile.
Secondo il comunicato del ministero dell’Economia del 14 agosto, gli accessi illeciti sono avvenuti a giugno e luglio. L’attaccante non ha sfruttato una falla: ha usato le credenziali di un dipendente della DGFiP e quelle di un soggetto terzo autorizzato. Il portale dei contribuenti, dice il ministero, non è stato compromesso. Come siano state rubate quelle credenziali, non è stato spiegato.
Per i privati sono usciti reddito fiscale di riferimento, quoziente familiare e aliquota della ritenuta alla fonte; per le imprese ragione sociale e numero SIREN; in più dati catastali, con indirizzi e superfici degli immobili. Le credenziali dei contribuenti non sono coinvolte. ZeroBytes sostiene di avere anche altro, ma per ora sono solo parole sue.
Sono stati informati la CNIL e l’agenzia nazionale per la sicurezza informatica, e la procura di Parigi ha aperto un’indagine. Dal 17 agosto le persone coinvolte ricevono una comunicazione via email.
Un utente autorizzato
Il dettaglio da tenere a mente è questo: per due mesi il sistema ha visto entrare utenti legittimi. Un accesso rubato è spesso più efficace di qualsiasi vulnerabilità, perché non fa rumore. A tradire l’attaccante, semmai, poteva essere il volume: due utenti che consultano centinaia di migliaia di posizioni fiscali non fanno un lavoro normale.
Con reddito, indirizzo e situazione familiare reali, un truffatore scrive messaggi molto convincenti, come falsi rimborsi o avvisi di pagamento. Diffida delle comunicazioni fiscali che chiedono pagamenti, dati bancari o un clic, e raggiungi i servizi digitando l’indirizzo ufficiale.
Se gestisci sistemi con dati sensibili, proteggi gli accessi interni e quelli dei fornitori con un’autenticazione a più fattori resistente al phishing. Imposta un allarme sui volumi di consultazione, perché un’estrazione lenta ma costante da parte di un singolo account è proprio ciò che qui nessuno ha notato. E rivedi gli accessi concessi a soggetti esterni..
