Una grave violazione dati DGFiP ha colpito l’amministrazione fiscale francese. La Direzione generale delle Finanze pubbliche ha confermato che un aggressore ha sottratto informazioni relative a 678.437 persone fisiche e professionisti. Le intrusioni risalgono a giugno e luglio 2026, ma sono state rivendicate pubblicamente solo il 12 e il 13 agosto. Dal 17 agosto 2026 la DGFiP notifica individualmente le vittime. La procura di Parigi ha aperto un’indagine, affidata all’ufficio anti-criminalità informatica (Ofac).
Che cosa contiene la fuga di dati del fisco
Il furto non riguarda le dichiarazioni fiscali complete, ma gli elementi coinvolti restano estremamente sensibili. Secondo le informazioni pubblicate, i dati esposti comprendono:
- il numero fiscale (l’identificativo francese a 13 cifre);
- cognome, nome, data e luogo di nascita;
- indirizzo postale, numero di telefono e indirizzo e-mail;
- il reddito fiscale di riferimento;
- il quoziente familiare;
- l’aliquota di ritenuta alla fonte.
Delle 678.437 persone coinvolte, la ripartizione annunciata è di 392.867 privati e 285.570 professionisti. In altre parole, quasi quattro vittime su dieci sono aziende, lavoratori autonomi o strutture assimilate.
Come è entrato l’aggressore: due account legittimi violati
Il modus operandi descritto è istruttivo, perché non si basa su alcuna impresa tecnica spettacolare. L’aggressore ha utilizzato le credenziali sottratte a due account del tutto legittimi: quello di un dipendente della DGFiP e quello di un terzo autorizzato ad accedere al sistema informativo.
Questo scenario è ormai la norma nelle grandi compromissioni. Invece di forzare un firewall, l’aggressore si procura credenziali valide — tramite phishing, un software che ruba informazioni installato su una postazione, o l’acquisto su mercati criminali — e poi accede come qualsiasi utente autorizzato. Dall’esterno, l’attività sembra traffico normale. È esattamente il motivo per cui un’intrusione iniziata a giugno è stata individuata solo diverse settimane dopo.
Un termine ricorre sistematicamente in queste analisi: il credential stuffing, ovvero il riutilizzo automatizzato di credenziali rubate altrove. Spiega perché l’autenticazione a più fattori, anche per gli account interni e per i fornitori, sia diventata un prerequisito e non un’opzione.
Perché questa fuga è più pericolosa di quanto sembri
Una password si cambia. Un numero fiscale, una data di nascita o un reddito fiscale di riferimento no. È il problema di fondo delle violazioni di dati pubblici: gli identificativi esposti sono, in gran parte, permanenti.
Il rischio immediato è il phishing mirato, chiamato anche spear phishing. Un truffatore che conosce il vostro nome, indirizzo, numero fiscale e reddito di riferimento può scrivere un messaggio di credibilità temibile. Lo scenario classico annuncia un rimborso fiscale e chiede le coordinate bancarie per il bonifico. Con dati esatti in apertura, il messaggio non somiglia più ai tentativi grossolani che si riconoscono al primo sguardo.
Il secondo rischio riguarda il furto d’identità. Il reddito fiscale di riferimento e il quoziente familiare servono da giustificativi in numerose pratiche: richieste di aiuti, pratiche abitative, aperture di conto. Uniti a un’anagrafica completa, costituiscono un fascicolo sfruttabile.
Per i 285.570 professionisti coinvolti si aggiunge un rischio di frode sui bonifici: un aggressore informato sulla situazione fiscale di un’azienda dispone di argomenti credibili per spacciarsi per l’amministrazione o per un fornitore.
Che cosa fare concretamente
Ecco i riflessi da adottare, che abbiate ricevuto o meno una notifica.
- Non cliccate mai su un link ricevuto via e-mail o SMS in materia fiscale. Digitate voi stessi
impots.gouv.frnel browser, oppure usate l’applicazione ufficiale. - Ricordate che la DGFiP non chiede mai le coordinate bancarie via messaggio per un rimborso. Il rimborso passa dal conto già registrato nello spazio personale.
- Attivate l’autenticazione a due fattori ovunque sia possibile, a partire dalla casella di posta principale, che serve a reimpostare tutti gli altri account.
- Cambiate la password del portale fiscale e verificate che non sia riutilizzata su altri servizi.
- Controllate gli estratti conto per diversi mesi. I dati rubati circolano spesso a lungo dopo i fatti.
- Segnalate ogni tentativo tramite Phishing Initiative, o al 33 700 per gli SMS fraudolenti in Francia.
Se ricevete la notifica ufficiale della DGFiP, non trattatela come una semplice formalità amministrativa: indica che i vostri dati figurano nel lotto esposto e che siete un bersaglio prioritario per i mesi a venire.
Una tendenza di fondo che va oltre la DGFiP
Questa violazione dati DGFiP si inserisce in una serie di attacchi contro amministrazioni pubbliche e grandi aziende. La logica è semplice: la centralizzazione dei servizi online migliora comodità ed efficienza, ma concentra il rischio. Compromettere una sola piattaforma basta ormai a esporre centinaia di migliaia di persone in un colpo solo.
Le amministrazioni europee aumentano i budget per la cybersicurezza, ma resta un divario netto tra la velocità della digitalizzazione e la maturità dei sistemi di rilevamento. Finché gli accessi interni e gli account dei fornitori non saranno protetti sistematicamente da un’autenticazione forte, incidenti di questo tipo continueranno a ripetersi.
Da ricordare
La violazione dati DGFiP non svuota da sola alcun conto bancario. Fornisce però ai truffatori una materia prima di alta qualità per campagne di phishing su misura. La migliore protezione si riassume in una regola: non agire mai da un link ricevuto, tornare sempre al sito ufficiale digitato da voi.
Avete ricevuto la notifica della DGFiP? Condividete la vostra esperienza nei commenti per aiutare gli altri lettori a riconoscere i tentativi di truffa in corso.
Leggi anche:
Share this content: