Il 15 aprile l’ANTS, l’Agenzia nazionale dei titoli sicuri francese, oggi France Titres, ha rilevato un incidente di sicurezza sul suo portale. È l’ente a cui i francesi chiedono carte d’identità, passaporti, patenti e permessi di soggiorno. Il 20 e 21 aprile il ministero dell’Interno ha confermato la portata: circa 11,7 milioni di account coinvolti, tra privati e professionisti. Nel frattempo, su forum criminali erano già in vendita milioni di righe di dati attribuiti all’agenzia.
Per i privati, secondo il ministero, sono esposti identificativo di accesso, titolo, nome e cognome, indirizzo email, data di nascita e identificativo univoco dell’account, e in alcuni casi indirizzo postale, luogo di nascita e numero di telefono. Le indagini escludono gli allegati caricati per le pratiche, come le scansioni dei documenti, e i dati biometrici. I dati, da soli, non permettono di entrare negli account.
Il ministero ha segnalato il caso alla magistratura, all’autorità per la protezione dei dati e all’agenzia nazionale per la sicurezza informatica, e ha chiesto all’ispettorato generale dell’amministrazione di ricostruire la catena delle responsabilità. Come gli attaccanti siano entrati, non è stato reso pubblico.
Un nome, una data, un ente vero
La Francia non è nuova a questi numeri. A marzo 2024 France Travail, l’agenzia per l’impiego, aveva denunciato una fuga che riguardava fino a 43 milioni di persone. Ogni volta il copione successivo è lo stesso: dati come questi servono a rendere credibile una truffa, più che a svuotare un conto.
Prova a metterti nei panni di chi riceve un SMS che lo chiama per nome, cita la sua data di nascita e annuncia un problema con il rinnovo del passaporto, da risolvere con un piccolo pagamento. Sembra autentico perché parte da informazioni autentiche. È un rischio che riguarda tutti i portali pubblici, anche quelli italiani.
Se hai un account sul portale francese, diffida di email, SMS e telefonate che parlano dei tuoi documenti e chiedono soldi o dati della carta. Raggiungi i servizi pubblici digitando l’indirizzo ufficiale, mai da un link ricevuto. Se la password del portale l’hai usata anche altrove, cambiala, e attiva l’autenticazione a più fattori dove puoi.
Se invece gestisci un portale, verifica che ogni richiesta controlli davvero che l’utente abbia diritto a vedere i dati che chiede.
