Violazione alla DGFiP francese: dati fiscali di oltre 600.000 persone forse nelle mani di un hacker

Accesso abusivo alla fine di giugno

Il Ministero dell’Economia francese ha confermato una compromissione dei sistemi informativi della Direction Générale des Finances Publiques (DGFiP), l’amministrazione responsabile della gestione fiscale del Paese.

L’accesso non autorizzato sarebbe avvenuto alla fine di giugno, dopo la sottrazione o l’uso improprio dell’identità digitale di un’altra persona. L’intrusione è stata individuata e bloccata nello stesso periodo. In seguito, la DGFiP ha applicato ulteriori restrizioni per impedire nuovi accessi illeciti.

La vicenda è diventata pubblica all’inizio della settimana, quando un hacker ha rivendicato l’operazione. Il Ministero dell’Economia ha poi formalizzato la conferma in una comunicazione diffusa giovedì sera.

L’attacco avrebbe permesso di consultare ed estrarre informazioni riferite sia a persone fisiche sia a imprese. Non è però ancora noto quanti soggetti siano effettivamente coinvolti, quali dati siano stati visualizzati e quali siano stati copiati dai sistemi dell’amministrazione.

La rivendicazione di ZeroBytes e i dati potenzialmente esposti

Secondo FrenchBreaches, l’attacco è stato rivendicato da un hacker che utilizza l’alias ZeroBytes. L’attore sostiene di avere ottenuto informazioni relative a più di 600.000 persone.

Tra i dati indicati nella rivendicazione figurano:

• nomi;
• altre informazioni personali;
• identificativi fiscali;
• indirizzi email;
• condizioni familiari;
• elementi relativi allo status fiscale.

La rivendicazione non è stata verificata indipendentemente. Anche l’autenticità e la completezza dei dati presumibilmente sottratti restano da accertare.

FrenchBreaches riferisce inoltre che l’attaccante avrebbe compromesso server interni, ottenuto la possibilità di collegarsi alla VPN della DGFiP e usato uno strumento interno per cercare informazioni su persone e aziende. Secondo questa ricostruzione, l’esfiltrazione sarebbe proseguita prima della revoca dell’accesso.

La DGFiP non ha attribuito pubblicamente l’operazione a un gruppo specifico e non ha confermato le dichiarazioni di ZeroBytes. Non sono state rese note neppure le versioni dei sistemi coinvolti, il punto d’ingresso tecnico preciso o il nome dello strumento interno eventualmente utilizzato.

Che cosa resta da chiarire

L’indagine dovrà stabilire se l’attaccante abbia soltanto consultato i dati o li abbia anche esportati in modo esteso. La distinzione è rilevante: la semplice esposizione di informazioni personali può creare rischi, ma una banca dati copiata e riutilizzabile aumenta la possibilità di campagne mirate.

I dati fiscali hanno un valore particolare per chi conduce frodi e operazioni di ingegneria sociale. Un identificativo fiscale associato a nome, email e informazioni familiari può rendere più credibili messaggi falsi attribuiti all’amministrazione, a banche o a consulenti.

Per ora non è stata pubblicata una classificazione formale della gravità dell’incidente. Il numero di oltre 600.000 persone rappresenta una dichiarazione dell’attaccante, non un conteggio confermato dalle autorità.

La DGFiP ha comunicato che contatterà individualmente le persone interessate. Le notifiche dovrebbero indicare quali categorie di dati potrebbero essere state coinvolte e quali precauzioni adottare. L’amministrazione ha inoltre annunciato una segnalazione all’autorità francese per la protezione dei dati e la presentazione di una denuncia penale.

Cosa possono fare le persone potenzialmente coinvolte

Chi riceverà una comunicazione dalla DGFiP dovrebbe verificarne attentamente l’autenticità, senza utilizzare link o numeri di telefono contenuti in messaggi sospetti. Le informazioni fiscali esposte possono essere sfruttate per costruire email molto personalizzate, non soltanto per inviare spam generico.

È prudente:

• diffidare di richieste urgenti di pagamento o di documenti fiscali;
• non comunicare password, codici temporanei o dati bancari via email o telefono;
• accedere ai servizi pubblici digitando manualmente l’indirizzo ufficiale;
• controllare con maggiore attenzione gli avvisi relativi a imposte, rimborsi e pratiche amministrative;
• cambiare le password eventualmente riutilizzate su più servizi;
• attivare l’autenticazione multifattore dove disponibile;
• conservare le comunicazioni ricevute dalla DGFiP per confrontarle con eventuali contatti successivi.

Non è noto se siano stati esposti dati di autenticazione o credenziali degli utenti. Per questo non è possibile stabilire, sulla base delle informazioni disponibili, se tutti i destinatari debbano cambiare password o adottare misure specifiche. Le indicazioni individuali dell’amministrazione saranno decisive.

Le imprese dovrebbero informare il personale che gestisce pratiche fiscali e pagamenti. Un aggressore in possesso di dati reali può tentare di modificare coordinate bancarie, falsificare richieste di rimborso o impersonare un interlocutore conosciuto.

Un nuovo incidente nella serie di attacchi contro enti pubblici francesi

La compromissione della DGFiP si aggiunge a una sequenza di incidenti che hanno colpito strutture pubbliche francesi quest’anno.

Ad aprile, attaccanti hanno preso di mira il sito dell’Agence Nationale des Titres Sécurisés (ANTS), la struttura che gestisce pratiche relative a passaporti, carte d’identità, permessi di soggiorno e patenti di guida. Nello stesso mese, il Ministero dell’Istruzione ha comunicato un attacco contro un sistema dedicato alla gestione degli account degli studenti, con esposizione di informazioni personali.

A febbraio, una violazione ha interessato una parte del National Bank Accounts File, il database dei conti bancari detenuti in Francia. L’incidente ha coinvolto informazioni collegate a circa 1,2 milioni di conti, all’interno di un archivio che contiene oltre 300 milioni di record.

All’inizio dell’anno, inoltre, la polizia ha arrestato un uomo di 20 anni sospettato di avere condotto decine di violazioni contro enti governativi, federazioni sportive e aziende private. Non è stato stabilito pubblicamente alcun collegamento tra quell’arresto e la compromissione della DGFiP.

Il caso attuale mostra ancora una volta il rischio legato agli account privilegiati e alle identità digitali compromesse. Anche senza una vulnerabilità software resa pubblica, il furto o l’abuso di un’identità può aprire la strada a sistemi interni, VPN e strumenti di ricerca contenenti informazioni altamente sensibili.