Il 12 agosto 2026 un utente che si firma ZeroBytes ha pubblicato su un forum un annuncio di vendita. L'oggetto della vendita erano 678.438 righe di dati che, a suo dire, provenivano dai sistemi della Direction générale des Finances publiques, cioè l'amministrazione fiscale francese. Per dimostrare di non stare bluffando ha allegato un campione. Il giorno dopo il ministero dell'Economia e delle Finanze ha confermato che l'accesso c'era stato davvero, che risaliva alla fine di giugno e che era avvenuto dopo un furto d'identità. Il 14 agosto la direttrice generale delle Finanze pubbliche, Amélie Verdier, ha dato un numero al danno: 678.000 tra privati e imprese, circa 392.000 persone fisiche e 285.000 utenti professionali. Il 15 agosto la sezione cyber della procura di Parigi ha aperto un'inchiesta, affidata all'ufficio di polizia specializzato nella criminalità informatica.
Il dettaglio più istruttivo di questa vicenda non è il numero delle vittime, ma il modo in cui l'attacco si è svolto. Non c'è stata una falla clamorosa nel portale pubblico. Il sito impots.gouv.fr non è stato bucato, e l'amministrazione ha tenuto a precisarlo più volte. Quello che è stato rubato sono le credenziali di un dipendente dell'amministrazione e quelle di un soggetto terzo autorizzato. Con quelle credenziali l'attaccante è arrivato a un accesso VPN, e da lì a una piattaforma interna che serve a fare ricerche sui contribuenti, privati e aziende. Una volta dentro, non ha dovuto forzare nulla: ha usato il software esattamente come lo userebbe un funzionario, solo molto più in fretta e su molte più persone.
C'è poi un secondo punto, ancora più scomodo per Bercy. L'intrusione era stata notata a giugno. L'accesso abusivo era stato rilevato e chiuso in tempi rapidi. Il problema è che i controlli fatti in quell'occasione non avevano mostrato alcuna estrazione di dati, e l'amministrazione era rimasta convinta che non fosse stato portato via nulla. Il ministero ha attribuito questa cecità alla sofisticazione dell'attacco. In pratica per quasi due mesi il fisco francese ha creduto di aver risolto un incidente che invece era ancora aperto, e se ne è accorto solo quando l'autore si è vantato pubblicamente del colpo. È una dinamica che si ripete con una frequenza sospetta: tra rilevare un accesso e capire cosa quell'accesso ha effettivamente portato via c'è una distanza enorme, e quasi nessuna organizzazione è attrezzata per coprirla.
Il contenuto di quello che è uscito merita attenzione, perché non è la solita lista di email. Ci sono nomi, indirizzi postali, indirizzi di posta elettronica, numeri di telefono, ragione sociale e codice identificativo per le imprese. Ma soprattutto ci sono il reddito fiscale di riferimento, il quoziente familiare e l'aliquota di prelievo alla fonte. Sono stati consultati anche dati catastali, cioè indirizzi e superfici di immobili. Tradotto: per centinaia di migliaia di francesi qualcuno ha in mano quanto guadagnano, quante persone hanno a carico e dove abitano. Le statistiche diffuse dalla stampa francese parlano di quasi 27.000 persone con un reddito di riferimento superiore ai 100.000 euro, 386 sopra il milione e otto sopra i dieci milioni.
L'amministrazione ripete, correttamente, che non sono state rubate password e che nessuno può entrare nell'area personale dei contribuenti. È vero, ed è una buona notizia. Ma è anche una rassicurazione che rischia di far abbassare la guardia sulla cosa sbagliata. Il pericolo reale, qui, non è che qualcuno acceda al tuo cassetto fiscale. È che tu riceva una telefonata o una mail in cui l'interlocutore conosce il tuo reddito esatto, la tua composizione familiare e la tua aliquota, e ti spieghi che c'è un rimborso da sbloccare o un pagamento da regolarizzare. Contro una truffa costruita su quei dati non esistono filtri antispam che tengano, perché il messaggio non ha nessuna delle imprecisioni che di solito ci fanno insospettire. E questi archivi non scadono: il reddito di quest'anno resta un'informazione utile a un truffatore anche fra tre anni.
C'è infine la parte della storia che resta in sospeso. L'attaccante contesta apertamente i numeri ufficiali e sostiene di aver avuto accesso a un ambiente che conteneva oltre sei milioni di pratiche fiscali, arrivando a ipotizzare che i dati consultabili riguardassero quasi venti milioni di persone. Sono affermazioni non verificate, che vengono da una fonte che ha tutto l'interesse a gonfiare la merce che sta vendendo, e vanno prese per quello che sono. Ma meno di 48 ore dopo la prima rivendicazione lo stesso soggetto ne ha pubblicata una seconda, relativa a un server di dati catastali destinato ai professionisti, con altre 252.000 righe che secondo lui riguarderebbero oltre due milioni di titolari di immobili. E non è nemmeno il primo caso dell'anno per l'amministrazione fiscale francese, che tra fine gennaio e metà febbraio aveva già subito un'intrusione basata, anche in quel caso, su credenziali compromesse di un funzionario.
Il governo ha reagito nei modi prevedibili: notifica all'autorità di protezione dei dati, denuncia, audit dei sistemi informativi della DGFiP affidato all'agenzia nazionale per la cybersicurezza, con conclusioni attese a settembre, e contatto diretto con le persone coinvolte a partire da questa settimana. Vedremo cosa produrrà l'audit. Ma la lezione è già leggibile adesso, e non riguarda solo la Francia. Le amministrazioni pubbliche hanno costruito negli anni banche dati che concentrano tutto quello che c'è da sapere su un cittadino, e hanno protetto l'accesso a quelle banche dati con lo stesso strumento che usiamo per leggere la posta: un nome utente e una password. Finché il perimetro di sicurezza di un archivio da milioni di contribuenti coincide con le credenziali di un singolo impiegato, non serve un attacco geniale per svuotarlo. Basta rubare l'identità giusta.