L'agenzia fiscale francese ha subito un cyberattacco che ha esposto dati personali legati a circa 678.000 contribuenti, come hanno confermato questa settimana le autorità. La violazione ha coinvolto sia contribuenti persone fisiche sia contribuenti professionali e ha innescato un'indagine su come gli aggressori abbiano ottenuto l'accesso ai sistemi governativi.

L'incidente si aggiunge alle crescenti preoccupazioni per la cybersecurity nel settore pubblico francese. L'agenzia statale per l'impiego France Travail ha reso noto a marzo 2024 che una violazione aveva esposto i dati di circa 10 milioni di attuali ed ex cercatori di lavoro, e ospedali francesi, tra cui strutture a Dax e Corbeil-Essonnes, sono stati colpiti da ransomware negli ultimi anni. Le autorità stanno ora lavorando per determinare con esattezza quali informazioni gli aggressori abbiano ottenuto e se i dati sottratti possano favorire ulteriori tentativi di frode o furto d'identità.

Indagine in corso

La Direction générale des Finances publiques, l'autorità fiscale francese, ha rilevato l'incidente dopo che gli aggressori avevano ottenuto un accesso non autorizzato a un sistema interno. Secondo i rapporti, la violazione sarebbe avvenuta a giugno, mentre le informazioni sottratte sono emerse pubblicamente ad agosto.

Le autorità francesi hanno limitato l'accesso ai sistemi interessati e avviato indagini tecniche. Stanno inoltre valutando la portata delle informazioni sottratte prima di informare i contribuenti colpiti sui rischi specifici e sulle misure di protezione. In quanto organismo pubblico, l'autorità fiscale rientra nel Regolamento generale dell'UE sulla protezione dei dati, che richiede la notifica delle violazioni qualificabili alla CNIL, l'autorità francese per la protezione dei dati, entro 72 ore e prevede che le persone interessate siano informate direttamente quando il rischio per loro è elevato.

L'incidente arriva pochi mesi dopo un'altra violazione della sicurezza che ha coinvolto il database nazionale dei conti correnti bancari dell'autorità fiscale. Quel precedente episodio avrebbe potenzialmente esposto informazioni legate a circa 1,2 milioni di conti, dopo che un aggressore aveva utilizzato credenziali rubate appartenenti a un dipendente pubblico.

Crescono i rischi per la cybersecurity

L'ultima violazione potrebbe accrescere il rischio di phishing, impersonificazione e altre truffe finanziarie ai danni dei contribuenti. Le autorità francesi per la cybersecurity hanno già avvertito che i criminali sfruttano comunemente gli eventi legati alla fiscalità inviando messaggi falsi che richiedono informazioni personali o bancarie, e i contribuenti possono verificare l'autenticità delle comunicazioni attraverso il proprio spazio personale sul portale ufficiale impots.gouv.fr.

Per le imprese e i privati, l'incidente evidenzia i rischi finanziari creati quando i database governativi diventano un obiettivo. Le informazioni fiscali sottratte possono fornire ai criminali dettagli credibili per tentativi di frode estremamente convincenti.

Le autorità non hanno ancora resa nota la natura completa delle informazioni compromesse né l'esatto metodo di accesso utilizzato dagli aggressori. L'impatto finanziario finale rimane poco chiaro mentre le indagini continuano.