Fisco francese violato: il ministero conferma i dati rubati di 678.000 tra privati e professionisti

Il ministero dell'Economia francese ha confermato che un attore malevolo ha avuto accesso illegittimo ai sistemi informatici della Direction générale des Finances publiques (DGFiP), l'amministrazione fiscale francese, e ha consultato ed estratto dati relativi a 678.000 tra privati e professionisti. Non è una stima circolata online: è la cifra dichiarata dallo stesso ministero, in un comunicato ufficiale pubblicato il 14 agosto 2026. Il comunicato non fornisce una scomposizione ufficiale tra le due categorie; una scomposizione attribuita a FrenchBreaches, sito specializzato, ripresa dall'agenzia France-Presse e riportata da La Libre, indica in circa 393.000 i privati coinvolti e in circa 285.000 i professionisti — una somma che coincide con la cifra ufficiale.

Dichiarazione ufficiale del ministero dell'Economia franceseLe indagini approfondite condotte dal 12 agosto 2026 hanno permesso di stabilire che "ces accès avaient été utilisés pour consulter et extraire certaines données concernant un total de 678 000 particuliers et professionnels", si legge nel comunicato del ministero. È la fonte ufficiale della cifra su cui si basa questo articolo.

La sequenza ricostruita dal ministero è questa: tra giugno e luglio 2026 qualcuno ha avuto accesso ai sistemi della DGFiP usando le credenziali rubate di un agente dell'amministrazione fiscale e di un "terzo autorizzato", cioè un soggetto esterno con permessi di accesso legittimi. Un attore malevolo ha rivendicato pubblicamente questi accessi il 12 e 13 agosto 2026. Il ministero racconta che gli accessi compromessi erano già stati interrotti in precedenza, ma i controlli di allora non avevano individuato il furto di dati a causa della sofisticazione dell'attacco. Solo le indagini approfondite avviate il 12 agosto hanno permesso di stabilire l'entità reale del danno.

Un punto che il ministero tiene a chiarire: il sito impots.gouv.fr e gli spazi personali dei contribuenti non sono stati compromessi direttamente. L'intrusione ha riguardato i sistemi interni della DGFiP, non il portale con cui i cittadini francesi dichiarano i redditi o consultano la propria posizione fiscale. Lo stesso comunicato precisa che le credenziali e le password di privati e professionisti non risultano tra i dati compromessi; una fonte indipendente (Korben) aggiunge che nemmeno le coordinate bancarie compaiono tra i dati sottratti.

Le categorie di dati che il ministero dell'Economia francese cita come esempio di quanto consultato ed estratto — un elenco indicativo, non esaustivo, relativo ai 678.000 casi dell'evento principale.

Categoria di dato	Chi riguarda	Fonte
Reddito fiscale di riferimento	Privati	Comunicato del ministero dell'Economia
Quoziente familiare	Privati	Comunicato del ministero dell'Economia
Aliquota di prelievo alla fonte	Privati	Comunicato del ministero dell'Economia
Ragione sociale e numero SIREN	Aziende	Comunicato del ministero dell'Economia
Dati catastali (indirizzo e superficie degli immobili)	Privati e aziende	Comunicato del ministero dell'Economia

Il comunicato ufficiale usa un linguaggio preciso: parla di dati "consultati ed estratti", non di una pubblicazione integrale del dataset. Le fonti giornalistiche indipendenti aggiungono un tassello: secondo quanto riferito all'agenzia France-Presse, l'attaccante ha messo in vendita su un forum di rivendita frequentato da criminali informatici almeno uno dei file, chiedendo una cifra dell'ordine delle migliaia di euro, senza però confermare di averlo effettivamente venduto; l'AFP ha potuto visionare un campione di quei dati sullo stesso forum. Una diffusione integrale e gratuita dell'intero dataset non risulta, alla data di questo articolo, dalle fonti consultate: è diverso dal sapere che dati sensibili sono stati sottratti e offerti in vendita a chi non doveva accedervi.

Di fronte alla violazione, la DGFiP dichiara di aver adottato interruzioni preventive degli accessi a sistemi informativi sensibili, di aver coinvolto il servizio dell'Alto funzionario di difesa e sicurezza e l'agenzia nazionale per la sicurezza dei sistemi informativi (ANSSI), e di aver investito la CNIL, l'autorità francese di controllo sulla protezione dei dati. Il Regolamento europeo sulla protezione dei dati (GDPR) impone proprio questo passaggio: notificare la violazione all'autorità di controllo senza ingiustificato ritardo e, quando possibile, entro 72 ore dalla conoscenza del fatto. Il ministero annuncia inoltre l'intenzione di presentare denuncia.

Il comunicato ufficiale non offre un elenco chiuso delle categorie coinvolte: usa espressioni come "certaines données... telles que" ("alcuni dati... come"), segnalando che quelle citate sono esempi, non un catalogo esaustivo. Coerentemente con questa formulazione aperta, alcune fonti giornalistiche indipendenti riportano anche altri dati tra quelli sottratti, come nome e cognome, data di nascita e indirizzo dei contribuenti coinvolti, pur senza elencarli esplicitamente nel testo del comunicato. Il quadro che ne emerge è quindi quello di un elenco ufficiale indicativo — non una lista completa e chiusa, ma nemmeno in contraddizione con quanto riportato altrove.

Separatamente dall'evento principale, esiste una seconda rivendicazione, relativa a un server della DGFiP dedicato ai dati catastali — il cosiddetto SPDC (Serveur professionnel de données cadastrales) — riferita a un accesso datato 29 luglio 2026. Va tenuta rigorosamente distinta dalla prima: riguarda un sistema diverso e, secondo chi la formula, cifre molto più alte.

Rivendicazione non confermata dalla DGFiPSecondo quanto sostiene l'attaccante, l'estrazione dal server catastale avrebbe riguardato 252.149 righe di dati, corrispondenti — sempre secondo la sua stessa rivendicazione — a oltre 2 milioni di titolari di diritti su particelle catastali. Lo stesso attaccante sostiene inoltre che il servizio a cui aveva accesso permetterebbe in teoria di risalire a circa 20 milioni di cittadini: un dato sul potenziale accessibile del sistema, non sui dati effettivamente estratti.

Rivendicazione non confermata dalla DGFiPSono tutte cifre fornite dall'attaccante, non stime indipendenti di terzi; va inoltre segnalato che il conteggio dei titolari non equivale necessariamente a persone distinte, perché uno stesso proprietario può comparire in più parcelle o più registrazioni. Alla data di questo articolo, l'amministrazione fiscale francese non ha confermato questa seconda rivendicazione. Va trattata per quello che è: un'affermazione dell'attaccante, non un fatto accertato.

Auto-rivendicazione non verificata da alcuna fonte ufficialeL'attore che rivendica entrambi gli accessi usa l'alias "ZeroBytes" e si descrive come un gruppo di due persone con un movente dichiaratamente economico. Nessuna fonte ufficiale francese attribuisce l'attacco a un soggetto identificato, che si tratti di un singolo individuo, di un gruppo criminale organizzato o di altro. Si tratta di un'auto-rivendicazione comparsa su un forum, non verificata in modo indipendente: questo articolo non attribuisce l'attacco a nessuno.

Non è la prima volta che la DGFiP subisce un incidente di questo tipo. A partire dalla fine di gennaio 2026, un altro accesso illegittimo, anch'esso basato su credenziali rubate di un funzionario, avrebbe colpito il fichier FICOBA, l'archivio nazionale dei conti bancari, per un totale che le fonti indicano in circa 1,2 milioni di conti. È un episodio distinto da quello di agosto, ma con uno schema di attacco simile: non una falla tecnica sfruttata dall'esterno, ma credenziali legittime finite nelle mani sbagliate.

Cosa fare adesso

• Cambia la password del tuo spazio su impots.gouv.fr se la riutilizzi anche su altri servizi.
• Sorveglia i movimenti sul tuo conto bancario: eventuali prelievi SEPA non autorizzati sono contestabili entro 13 mesi.
• Diffida di email o SMS non richiesti che promettono un rimborso fiscale: è uno schema di phishing frequente in casi come questo.
• Accedi ai servizi fiscali digitando direttamente l'indirizzo impots.gouv.fr, mai tramite link ricevuti via email o SMS.
• Conserva screenshot, email o SMS sospetti come prova, utile per una denuncia in banca o sulla piattaforma dedicata in caso di tentativo di frode.

Domande dirette

I miei dati fiscali sono stati pubblicati online?

Il comunicato del ministero parla di dati "consultati ed estratti", non di una pubblicazione integrale. Fonti indipendenti riferiscono che l'attaccante ha messo in vendita almeno uno dei file su un forum di rivendita, chiedendo una cifra dell'ordine delle migliaia di euro senza confermare la vendita effettiva, e che un campione dei dati è stato visionato lì da un'agenzia di stampa. Una diffusione integrale e gratuita dell'intero dataset non risulta, alla data di questo articolo.

È vero che sono coinvolti oltre 2 milioni di persone?

Quella cifra riguarda una seconda rivendicazione distinta, relativa a dati catastali, che l'amministrazione fiscale francese non ha confermato. L'unico numero ufficiale, riferito all'evento principale, è 678.000.

Cosa devo fare se temo di essere tra i coinvolti?

Cambia la password del tuo spazio su impots.gouv.fr se la riutilizzi altrove, controlla i movimenti sul tuo conto bancario e diffida di email o SMS che promettono rimborsi fiscali: accedi ai servizi solo digitando direttamente l'indirizzo del sito ufficiale.