L’autorità fiscale francese ha confermato che informazioni appartenenti a centinaia di migliaia di contribuenti e professionisti sono state rubate dopo che gli aggressori hanno ottenuto accesso non autorizzato ai suoi sistemi. La Direction Générale des Finances Publiques (DGFiP) continua a indagare sull’intrusione dopo che un hacker ha pubblicamente rivendicato la responsabilità e pubblicizzato una collezione molto più ampia di registri fiscali francesi.
L’incidente è entrato in evidenza dopo che un aggressore con il nome “ZeroBytes” ha pubblicizzato quello che è stato descritto come un database contenente informazioni su oltre due milioni di contribuenti francesi. L’hacker ha affermato che l’intrusione sia avvenuta tra giugno e luglio e ha affermato che sono state utilizzate credenziali rubate e un metodo per bypassare l’autenticazione multifattore per entrare nei sistemi DGFiP. L’attaccante ha inoltre rivendicato l’accesso continuato, ma DGFiP afferma che gli account associati alle intrusioni identificate sono stati sospesi quando l’attività non autorizzata è stata scoperta.
L’indagine di DGFiP ha stabilito che i dati sono stati prelevati durante gli attacchi, anche se il furto non è stato inizialmente rilevato. Secondo l’autorità, le intrusioni hanno coinvolto credenziali di accesso compromesse associate a un dipendente di DGFiP e a una terza parte autorizzata. Quando l’accesso non autorizzato è stato identificato per la prima volta, i funzionari hanno disabilitato gli account coinvolti, ma i controlli di sicurezza all’epoca non hanno rivelato che le informazioni fossero già state rimosse.
Il numero confermato di individui e professionisti coinvolti attualmente è di circa 678.000. Questo numero è notevolmente inferiore a quello promosso dal presunto aggressore, e l’indagine in corso non ha confermato l’affermazione che siano stati ottenuti più di due milioni di registri pubblici. I resoconti dei media francesi indicano che le informazioni esposte includono sia dettagli personali che fiscali.
Tra le informazioni fiscali compromesse ci sono il reddito fiscale di riferimento, il quoziente familiare e le aliquote di ritenuta d’acto. I registri aziendali includono i nomi delle società e i numeri di identificazione SIREN, mentre sono state inoltre accessibili informazioni catastali riguardanti indirizzi e dimensioni delle proprietà. Il DGFiP ha dichiarato che le credenziali online dei contribuenti, inclusi i loro ID e password, non sono state compromesse in questo incidente.
Dopo che gli investigatori hanno ottenuto ulteriori informazioni sulla violazione, DGFiP ha introdotto ulteriori misure di sicurezza. Queste includevano restrizioni preventive all’accesso ai sistemi informativi sensibili mentre le autorità continuavano a determinare esattamente cosa avevano raggiunto gli attaccanti e quante informazioni fosse stata rimossa.
Le persone e i professionisti identificati come colpiti sono tenuti a ricevere notifiche dirette dall’autorità fiscale che spiegano quali categorie delle loro informazioni potrebbero essere state esposte e quali precauzioni dovrebbero prendere. La portata finale dell’incidente è ancora sotto indagine, il che significa che la cifra attualmente confermata potrebbe cambiare man mano che prosegue il lavoro forense.
La violazione segue un altro incidente di sicurezza che ha coinvolto DGFiP all’inizio del 2026. A partire da fine gennaio, un aggressore che aveva ottenuto le credenziali di un dipendente governativo ha ottenuto accesso non autorizzato a parte di FICOBA, il database nazionale francese dei conti bancari. DGFiP ha dichiarato che quell’incidente ha coinvolto circa 1,2 milioni di conti, rappresentando meno dell’1% dei dati bancari contenuti nel database.
Il precedente compromesso FICOBA ha esposto informazioni bancarie, inclusi dettagli RIB e IBAN, ma DGFiP ha affermato che attualmente non esiste alcun collegamento stabilito tra quell’attacco e l’ultimo furto di informazioni dei contribuenti.
La portata precisa della nuova violazione rimane quindi irrisolta. Il DGFiP ha confermato accessi non autorizzati e furti che coinvolgono circa 678.000 individui e professionisti, mentre il presunto aggressore sostiene di possedere un dataset molto più ampio. Gli investigatori stanno ancora lavorando per stabilire il volume e la natura esatti delle informazioni rubate.