Cosa ha davvero perso la DGFiP
L'intrusione nella Direction Générale des Finances Publiques francese è iniziata il 26 giugno 2026, quando un attaccante ha usato credenziali rubate appartenenti a un dipendente della DGFiP e a un separato terzo autorizzato per accedere ai sistemi dell'ente. I controlli interni hanno tagliato quell'accesso prima della fine di giugno, e il comunicato ufficiale del Ministero delle Finanze quantifica i dati esposti in circa 678.000 persone e aziende - vicino alle 678.438 righe che l'attaccante stesso ha poi rivendicato. Per i contribuenti privati, i campi esposti sono nome completo, classificazione del quoziente familiare, reddito imponibile di riferimento e aliquota di ritenuta alla fonte; per le aziende, il numero di registrazione SIREN, l'indirizzo dell'azienda e l'indirizzo del rappresentante autorizzato.
La DGFiP ha dichiarato che nessun conto sicuro di contribuente sul portale impots.gouv.fr è stato compromesso, perciò i dati da soli non concedono a nessuno l'accesso alle dichiarazioni fiscali attive. L'ente stesso, però, ha descritto l'intrusione come più sofisticata di qualsiasi cosa avesse affrontato prima, e i campi esposti - livello di reddito, aliquota fiscale, situazione familiare, registrazione aziendale e dati dell'indirizzo - sono esattamente il tipo di dettaglio che rende credibile una successiva chiamata di phishing o un'email fraudolenta.
Quarantotto giorni dal blocco alla divulgazione pubblica
Il calendario che conta qui non è l'intrusione in sé, ma il silenzio successivo. La DGFiP ha tagliato l'accesso dell'attaccante a fine giugno, e la violazione è rimasta non annunciata fino al 12 agosto, quando l'attaccante ha pubblicato la propria rivendicazione del furto di dati. Solo il giorno seguente, il 13 agosto, il Ministero delle Finanze ha emesso un comunicato ufficiale che confermava l'intrusione, dichiarando che la DGFiP avrebbe notificato la CNIL, l'autorità francese per la protezione dei dati, e sporto denuncia penale presso la procura di Parigi, che da allora ha aperto un'indagine con il coinvolgimento di OFAC, l'unità nazionale contro la criminalità informatica.
Quel divario di 48 giorni è legale secondo la lettera del GDPR: il termine di 72 ore del regolamento si applica solo alla notifica all'autorità di controllo, non alla notifica alle persone interessate, alle quali si deve una divulgazione solo 'senza ingiustificato ritardo' quando una violazione presenta un rischio elevato - uno standard senza un numero fisso associato. Il ministro dei Conti Pubblici David Amiel ha quindi chiesto alla DGFiP di notificare direttamente i contribuenti interessati e di proporre procedure di sicurezza rafforzate, ma quella richiesta è arrivata dopo che la pubblicazione dello stesso attaccante aveva costretto la mano dell'ente, non prima.
La multa che non si applica a chi dovrebbe pagarla
Ecco, però, l'asimmetria su cui un operatore del settore privato dovrebbe riflettere: secondo la legge francese che attua il GDPR, un'azienda che avesse gestito una violazione come ha fatto la DGFiP - credenziali di terzi compromesse, settimane di silenzio, divulgazione solo dopo che l'attaccante l'ha resa pubblica - potrebbe affrontare multe della CNIL fino a 10 milioni di euro o al 2 percento del fatturato annuo globale per non aver notificato le persone interessate senza ingiustificato ritardo. La stessa legislazione esclude esplicitamente i 'trattamenti effettuati dallo Stato' da quelle sanzioni amministrative. Il meccanismo che dovrebbe rendere la divulgazione rapida una questione di interesse finanziario proprio per ogni azienda regolata dalla DGFiP semplicemente non esiste per la DGFiP stessa.
Un sindacato del settore pubblico ha posto esattamente questa domanda non appena la violazione era già diventata pubblica: senza la divulgazione dello stesso attaccante, quando e come avrebbero mai saputo i contribuenti e le aziende interessate cosa fosse successo. Non è un'ipotesi per le circa 678.000 persone e aziende che ora detengono un'informazione che non avevano due mesi fa - ed è una lezione diretta di governance per qualsiasi imprenditore che presuma che gli incentivi di una controparte governativa nella gestione dei dati rispecchino quelli che la regolamentazione impone alla propria azienda. Non è così, e il divario si chiude solo quando l'attaccante decide di parlare. Qualsiasi azienda il cui numero SIREN e indirizzo registrato fossero all'interno di questa esposizione dovrebbe trattare le prossime settimane come una finestra attiva di rischio di furto d'identità', non come un incidente chiuso, indipendentemente da quanto tempo la DGFiP stessa ha impiegato per dirlo.
Da leggere ora: La violazione di Beacon non rientra in nessuna rete di protezione | Violazione CEVA colpisce i clienti Steam in Europa
