Il Ministero delle Finanze francese ha confermato il 17 agosto 2026 che la DGFiP ha subito una violazione dei dati fiscali di 678.000 individui e professionisti, con esfiltrazione iniziata tra fine giugno e il 12 agosto. L'attacco sfrutta una debolezza architetturale riconosciuta: credenziali professionali rubate, nessuna conferma di autenticazione a più fattori, e estrazione record-by-record progettata per mimetizzarsi nel traffico amministrativo quotidiano. La posta in gioco oggi non è solo la notifica tardiva, ma se la CNIL applicherà la regola del febbraio 2026 che rende l'MFA obbligatorio per le grandi banche dati.
- 678.000 persone e professionisti interessati; dati esposti includono reddito di riferimento, quoziente familiare, aliquota ritenuta d'acconto e dati catastali, secondo il statement del Ministero delle Finanze.
- Le credenziali compromesse appartenevano a almeno un dipendente DGFiP e un terzo autorizzato, con accesso tramite VPN aziendale; non risultano rubate credenziali del portale pubblico impots.gouv.fr né numeri di conto bancario.
- L'attaccante, identificato come ZeroBytes, ha estratto i dati record per record per evadere le soglie di allarme dei SIEM tradizionali.
- La CNIL aveva stabilito a febbraio 2026 un obbligo vincolante di MFA per organizzazioni con grandi database; il gap di implementazione espone ora la DGFiP a un potenziale enforcement retroattivo.
Come funziona l'estrazione silenziosa
ZeroBytes non ha caricato il database in blocco. Secondo quanto riferito da TechTimes sulla base di un'intervista a FrenchBreaches, l'attaccante ha interrogato il sistema "record by record", distribuendo le query nel tempo. Il metodo è tecnicamente semplice: una singola richiesta per contribuente non supera le soglie di volume che i SIEM tradizionali usano per segnalare anomalie. Il pattern risultante imita una sessione amministrativa intensiva ma legittima.
Il Ministero francese ha descritto l'operazione come "sofisticata", spiegando così la mancata rilevazione immediata da parte della DGFiP. Le credenziali professionali rubate hanno aperto l'accesso VPN aziendale, ma il dossier non chiarisce se l'MFA fosse implementata su quei punti di ingresso o se sia stata bypassata. Questo vuoto è centrale: la CNIL non può sanzionare un bypass tecnico non documentato, ma può sanzionare l'assenza di controlli che la stessa aveva reso obbligatori cinque mesi prima.
Cosa conferma il Ministero, cosa no
Nello statement ufficiale del 17 agosto, il Ministero ha fornito una granularità insolita per una comunicazione istituzionale iniziale. I dati esposti per i privati includono: reddito fiscale di riferimento, quoziente familiare, aliquota della ritenuta d'acconto, indirizzi, dimensioni immobiliari e storico contatti amministrativi. Per i professionisti: ragione sociale, numero SIREN, indirizzi aziendali e sedi dei rappresentanti autorizzati. Il Ministero ha esplicitamente escluso la compromissione degli account impots.gouv.fr, degli user ID, delle password e dei numeri di conto bancario.
"The in-depth investigations conducted since August 12, 2026, have established that, prior to their interruption, these access points had been used to consult and extract data concerning a total of 678,000 individuals and professionals" — French Finance Ministry, statement ufficiale
Le Monde ha verificato un campione dei dati offerti da ZeroBytes su forum criminali, confermando la presenza di nomi, indirizzi domiciliari, numeri di telefono, dettagli fiscali, informazioni su familiari a carico e contatti amministrativi. Questa corroborazione indipendente rafforza la credibilità della rivendicazione rispetto a semplici operazioni di ghosting.
ZeroBytes ha anche affermato di aver estratto 252.149 record dal SPDC (Serveur Professionnel de Données Cadastrales), su più di 2 milioni potenziali, dichiarando però di non aver completato l'operazione. La DGFiP non ha confermato né smentito questa rivendicazione secondaria.
Il precedente CNIL: regola di febbraio, trappola di agosto
La CNIL nel febbraio 2026 ha stabilito un obbligo vincolante: le organizzazioni che detengono grandi database di clienti devono implementare l'autenticazione a più fattori. La regola era già attiva quando l'attacco alla DGFiP è iniziato, presumibilmente a fine giuglio. Questo crea una congiunzione temporale rara in materia di enforcement: l'autorità di regolazione può sanzionare una violazione di sicurezza avvenuta dopo l'entrata in vigore di un obbligo specifico, non solo dopo una notifica tardiva.
I numeri dell'attività CNIL nel 2025 forniscono il contesto operativo: 6.167 notifiche di breach, con un aumento del 9,5% rispetto al 2024, e sanzioni cumulative per circa 487 milioni di euro. Per il 2026, la CNIL ha indicato che il 50% dei controlli e dell'enforcement sarà dedicato alla data security. Il caso DGFiP si presenta come test immediato di questa riallocazione.
Il gap di notifica è di circa sette settimane dalla rilevazione iniziale. Il Ministero ha ordinato le notifiche individuali a partire dalla settimana del 17 agosto, su direttiva del Ministro David Amiel. Il Parquet di Parigi ha aperto un'inchiesta penale tramite l'OFAC (Office Central de Lutte contre la Grande Délinquance Financière et en Matière de Corruption).
ZeroBytes: motivazioni e metodo
L'attore, intervistato da FrenchBreaches, ha esplicitato una motivazione finanziaria pura. Il dossier non documenta collegamenti con operatori statali o motivazioni geopolitiche.
"Money is the main motivation, plus a desire for power. I don't have a particular preference — I think everything sells, so I retrieve what I can." — ZeroBytes, in intervista a FrenchBreaches
ZeroBytes ha pubblicato un breakdown demografico dei dati esposti che il dossier non attribuisce a verifica DGFiP: 26.805 individui con reddito superiore a 100.000 euro, 386 con reddito superiore a 1 milione, 8 con reddito superiore a 10 milioni. Queste cifre, se corrispondessero a dati reali, segnalerebbero un target potenziale per attacchi fisici ("wrench attacks") o estorsioni personalizzate, ma restano nel campo delle rivendicazioni non confermate.
Perché è importante
Il caso DGFiP non è tecnicamente un'operazione complessa: credenziali valide, query legittime distribuite nel tempo, assenza di controlli comportamentali. La sua rilevanza sta nella congiunzione tra una regola di compliance appena entrata in vigore e un breach che la viola presumibilmente. Per le pubbliche amministrazioni europee, il caso misura il tempo reale tra l'emanazione di una policy di sicurezza e la sua implementazione operativa.
Per le imprese, il precedente potenziale è chiaro: l'MFA non è più raccomandazione ma obbligo sanzionabile, anche quando l'attacco sfrutta credenziali interne su tool amministrativi non rivolti al pubblico. Per i SIEM, l'episodio conferma che le soglie di volume sono insufficienti per rilevare estrazioni mimetiche: serve il profilato comportamentale delle sessioni amministrative, non solo la conta delle richieste.
La CNIL non ha ancora annunciato sanzioni specifiche. Il dossier non documenta misure correttive adottate dalla DGFiP dopo il 12 agosto. Il confronto con il breach FICOBA di dicembre 2025, che ha esposto 1,2 milioni di conti, mostra un pattern istituzionale di accesso abusivo a database fiscali francesi, ma il dossier tratta il caso FICOBA come contesto separato non direttamente collegato.
Fonti
- https://www.techtimes.com/articles/324686/20260817/french-tax-agency-breach-leaks-withholding-rates-cnil-eyes-enforcement-precedent.htm
- https://www.bleepingcomputer.com/news/security/french-tax-authority-data-breach-affects-678-000-individuals/
- https://www.securityweek.com/680000-impacted-by-french-tax-authority-data-breach/
- https://www.cloaked.com/post/678-000-people-affected-by-a-french-tax-data-breach--what-we-can-learn-from-it
- https://www.bleepingcomputer.com/news/security/data-breach-at-french-bank-registry-impacts-12-million-accounts/
- https://www.bleepingcomputer.com/
- https://www.bleepingcomputer.com/tutorials/
- https://www.bleepingcomputer.com/download/
- https://deals.bleepingcomputer.com/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.