ZeroBytes mette in vendita dati dell’agenzia fiscale francese: la breccia DGFiP confermata a 678.000 interessati
Il 12 agosto 2026, un attore di minaccia che opera sotto l’alias ZeroBytes ha pubblicato un listing sul forum di hacking PwnForums, offrendo in vendita un database presuntivamente rubato alla Direction générale des Finances publiques (DGFiP) francese, l’agenzia che gestisce l’amministrazione fiscale del paese. Il venditore rivendicava accesso all’infrastruttura della DGFiP da fine giugno, ottenuto tramite credenziali rubate combinate con un bypass dell’autenticazione a due fattori, e offriva sia un dump statico sia ciò che descriveva come accesso ancora attivo ai sistemi fiscali francesi. Giorni dopo, il Ministero dell’Economia e delle Finanze francese ha confermato un accesso illegittimo ai sistemi informativi della DGFiP che interessa circa 678.000 persone e organizzazioni.
Cosa ha confermato il ministero
La dichiarazione ufficiale è più misurata del post sul forum, e il divario tra le due vale la pena tenere d’occhio. Secondo il ministero, i dati compromessi coprono informazioni sul reddito, composizione familiare, aliquote di trattenuta, nomi di aziende e numeri di registrazione SIREN, indirizzi catastali e superfici delle proprietà. Fondamentale: il governo ha sottolineato che gli account online degli utenti non sono stati toccati e che nessun nome utente o password di contribuenti privati o professionali è stato rubato. Appena l’accesso illegittimo è stato identificato, la DGFiP ha ristretto l’accesso ai suoi sistemi informativi sensibili e ha avviato un’indagine insieme ad ANSSI, l’agenzia nazionale per la cibersicurezza francese. L’autorità per la protezione dei dati CNIL è stata notificata, e le notifiche alle vittime partono via e-mail e posta, specificando quali categorie di dati potrebbero essere state consultate e quali precauzioni dovrebbero prendere i destinatari. La DGFiP ha anche presentato denuncia penale. Le rivendicazioni del venditore, non verificate
ZeroBytes racconta una storia più grande di quella del ministero. Nei suoi post sul forum, afferma di essere arrivato al Serveur Professionnel de Données Cadastrales (SPDC), il portale professionale che dà accesso al catasto centralizzato francese, e dice che quel portale conteneva registri riguardanti circa 20 milioni di cittadini. Dichiarà di aver estratto 252.149 record che toccavano più di due milioni di persone prima di abbandonare lo scraping completo come impraticabilmente lento, e che al momento del post era ancora collegato al pannello e disposto a vendere quell’accesso insieme al dump (ZATAZ). Nessuna di queste cifre è stata verificata in modo indipendente, e vanno trattate come marketing finché la forense non dica altro. Il numero che porta peso ufficiale è 678.000. La discrepanza conta in pratica. Se la reale esposizione si misurasse in milioni anziché in centinaia di migliaia, i volumi di notifica e il rischio di phishing scalerebbero di conseguenza. Ma i venditori underground gonfiano di routine la portata per alzare i prezzi, e una rivendicazione di accesso attivo non può essere testata da estranei. Si scontra con la versione dell’agenzia: ogni account compromesso è stato reciso al momento del rilevamento, con ulteriori controlli di accesso imposti da allora. Perché i dati fiscali si vendono
I record fiscali sono tra i dataset più pericolosi che possano circolare sui mercati criminali, proprio per il loro aspetto ordinario. Un nome abbinato al reddito imponibile di riferimento, alla composizione familiare e a un’aliquota di trattenuta esatta permette a un truffatore di impersonare l’autorità fiscale con una credibilità devastante. Una chiamata o un’email che cita la tua reale fascia di reddito e la tua reale aliquota di prélèvement à la source non suona come phishing; suona come Bercy. Per le aziende, nomi di azienda più numeri SIREN abilitano frode su fatture e chiamate convincenti mirate al personale di busta paga e contabilità fornitori. Indirizzi catastali e superfici delle proprietà aggiungono una dimensione fisica: chi possiede immobili grandi o di valore e dove vivono quelle persone. Questa è la stessa dinamica che abbiamo notato quando i record dell’agenzia di credito tedesca sono comparsi su un forum underground all’inizio di quest’estate; vedi la nostra copertura della presunta vendita del database SCHUFA. I dataset finanziari e amministrativi su scala nazionale sono diventati merce premium nei mercati in lingue europee, e le istituzioni statali sono ormai bersagli regolari anziché eccezioni. Un attore seriale con un metodo familiare
ZeroBytes non è un nuovo arrivato. Reportage di mezzi francesi e russi legano lo stesso alias a una serie di intrusioni nel 2026 contro organizzazioni francesi, tra cui una catena di supermercati, una piattaforma di gaming e una federazione sportiva, tutte seguendo un playbook coerente: rubare credenziali appartenenti a un dipendente o a un terzo autorizzato, collegarsi a uno strumento di interrogazione interno tramite una VPN, poi estrarre i dati record per record per restare sotto le soglie di rilevamento progettate per beccare i download in massa (FrenchBreaches). La copertura in russo riassume il caso per un pubblico più ampio (Xakep), mentre i report in inglese confermano la cifra di 678.000 e le affermazioni sul SPDC (BleepingComputer). Il metodo mette in luce una debolezza strutturale condivisa da molte grandi amministrazioni: gli strumenti di ricerca interni costruiti per lavoro amministrativo legittimo diventano motori di estrazione efficienti nel momento in cui il loro unico controllo è un login. L’esfiltrazione query per query batte l’alerting basato sul volume quasi by design. Cosa osservare
Tre cose daranno forma allo sviluppo di questa storia. Prima, se l’indagine di ANSSI rivede al rialzo la cifra di 678.000 mentre la forense procede, o valida la narrativa SPDC più grande del venditore. Seconda, se una parte del dump emerge pubblicamente, il che sposterebbe l’incidente da una vendita controllata a un saccheggio a cielo aperto. Terza, a quale conclusione arriva la CNIL sulla timeline tra l’intrusione di fine giugno e la divulgazione, visto che gli orologi di notifica di breach del GDPR partono dalla consapevolezza del breach stesso, non dalla conferma che i dati siano usciti. Per chi riceve notifica, il consiglio pratico non cambia: tratta email, chiamate e lettere a tema fiscale con sospetto elevato, verifica ogni richiesta in modo indipendente attraverso i canali ufficiali, e non agire mai su cambi di pagamento o di coordinate bancari sollecitati da contatti non richiesti. Un database del genere non deve essere rivenduto per causare danni; una copia nelle mani sbagliate basta ad alimentare una stagione di phishing molto convincente.
