Clermont-Ferrand, 16 agosto 2026
È la fuga di dati pubblici più commentata dell'estate, e probabilmente la più istruttiva. Il 12 agosto 2026 un attore malevolo rivendica pubblicamente un accesso illegittimo al sistema informativo della Direzione generale delle Finanze pubbliche (DGFiP). Il giorno seguente l'amministrazione conferma: dati fiscali sono stati effettivamente consultati ed estratti. Il conteggio comunicato riguarda circa 678.000 privati e professionisti, mentre l'autore rivendica 678.438 righe. Gli interessati vengono informati individualmente a partire da lunedì 17 agosto, l'autorità francese per la protezione dei dati (CNIL) è stata notificata, è stata presentata denuncia e la procura di Parigi ha aperto un'inchiesta per estrazione fraudolenta di dati e associazione a delinquere, affidata ai servizi specializzati contro la criminalità informatica.
Per un dirigente d'impresa la tentazione è archiviare la vicenda come «un problema dello Stato». Sarebbe un errore di analisi. Quanto accaduto alla DGFiP non è un incidente proprio dell'amministrazione fiscale: è il modus operandi dominante del 2026 e funziona altrettanto bene contro una PMI di quaranta dipendenti quanto contro una direzione ministeriale.
Che cosa sappiamo dei fatti
L'intrusione risale alla fine di giugno 2026, con accessi proseguiti a luglio. Il vettore non è una vulnerabilità applicativa spettacolare ma un'usurpazione d'identità: quella di un funzionario della DGFiP e quella di un terzo autorizzato. Con queste identità l'attaccante ha ottenuto un accesso remoto legittimo e poi l'uso di uno strumento interno di ricerca capace di interrogare sia privati sia professionisti. L'accesso è stato interrotto a fine giugno nell'ambito dei controlli effettuati, ma l'estrazione era già avvenuta, distribuita nel tempo.
I dati coinvolti comprendono, per i privati, cognome e nomi, il quoziente familiare, il reddito fiscale di riferimento e l'aliquota di ritenuta alla fonte; per i professionisti, la ragione sociale e il numero SIREN. L'amministrazione ha precisato che questi dati non consentono, di per sé, l'accesso all'area riservata del sito impots.gouv.fr. Una seconda rivendicazione, formulata il 14 agosto, riguarda un'interfaccia applicativa legata a dati catastali; altre organizzazioni francesi sono state citate dallo stesso attore.
La vera lezione: l'attaccante non ha rotto nulla, si è collegato
Su questo punto occorre insistere, perché determina l'intera strategia di difesa. Nessuno zero-day, nessun ransomware, nessun rumore. Una credenziale valida, un accesso remoto legittimo, uno strumento di lavoro usato esattamente come lo userebbe un funzionario. I controlli classici non vedono nulla: l'autenticazione riesce, la sorgente è autorizzata, le richieste rispettano il formato atteso. E l'esfiltrazione si distribuisce su settimane, in piccole richieste, proprio per non superare alcuna soglia di volume.
È lo scenario che manda in crisi la quasi totalità dei dispositivi di sicurezza fondati su regole e soglie. Un firewall ben configurato non blocca un utente autorizzato. Un antivirus non rileva una sessione legittima. Un SIEM tarato su soglie di volume non scatta su mille piccole richieste distribuite in sei settimane. L'unica cosa che tradisce questo tipo di attaccante è la coincidenza di segnali deboli: una credenziale che circola in una fuga, una connessione da un paese mai visto per quell'account, un ritmo di sollecitazione applicativa che non somiglia alle abitudini dell'utente, una destinazione di condivisione insolita. Presi singolarmente, questi segnali sono inintelligibili. Correlati sullo stesso account nello stesso momento, indicano un account rubato.
Dove trova l'attaccante credenziali valide?
La domanda merita una risposta diretta, perché la risposta è industriale. Le credenziali usate in queste intrusioni non vengono più raccolte una a una con phishing artigianale. Sono prodotte in massa dagli infostealer — software che rubano informazioni installati su una postazione, spesso personale, spesso fuori dal perimetro gestito dall'IT. In pochi secondi l'infostealer preleva le password salvate nel browser, i cookie di sessione, i token di autenticazione e i file di configurazione VPN. Il risultato, chiamato «log», viene poi rivenduto o diffuso su canali Telegram, forum criminali e marketplace specializzati, in lotti di migliaia di unità.
Tra il furto della credenziale e il suo utilizzo in un'intrusione passano di norma diverse settimane, a volte diversi mesi. È questa finestra l'unica occasione per vincere la partita prima che cominci. Un'organizzazione che sorveglia in continuo la comparsa dei propri nomi di dominio, degli indirizzi professionali e di quelli dei dirigenti su questi canali può reimpostare un account compromesso prima che qualcuno lo usi. Un'organizzazione che non li sorveglia scopre il problema quando è l'attaccante ad annunciarlo pubblicamente.
La risposta dello Stato: un piano reale, che però non copre la vostra impresa
Il governo non è rimasto inerte. La strategia annunciata dal Primo ministro mobilita 200 milioni di euro per finanziare investimenti in applicazioni, strumenti di rilevamento e crittografia post-quantistica, e crea una nuova autorità digitale dello Stato, ARIANE, alle dirette dipendenze di Matignon, incaricata di uniformare e mettere in sicurezza le infrastrutture digitali ministeriali. Un piano d'urgenza di azioni prioritarie è stato imposto a tutti i ministeri, con monitoraggio trimestrale. Il tutto si inserisce nella Strategia nazionale di cybersicurezza 2026-2030, che assume di superare l'approccio strettamente tecnico per fare della cybersicurezza una politica di resilienza complessiva.
Questo piano è necessario e la sua ampiezza va salutata. Ma occorre misurarne la portata esatta: protegge lo Stato, non le imprese. E non rimette nella scatola i dati già usciti. I 678.000 fascicoli esposti alimenteranno, nelle settimane e nei mesi a venire, campagne di phishing di credibilità inedita. Un messaggio che cita il vostro reddito fiscale di riferimento esatto, il quoziente familiare e l'aliquota di ritenuta non sembra una truffa: sembra l'amministrazione. Sul versante professionale, la combinazione di ragione sociale, SIREN e dati fiscali è carburante diretto per la frode del falso fornitore, la frode del CEO e l'usurpazione d'identità aziendale presso banche e partner.
Che cosa mette SYLink di fronte a tutto questo
La nostra convinzione è semplice: contro questo modus operandi bisogna coprire i tre tempi dell'attacco — prima dell'intrusione, sorvegliando le credenziali che trapelano; durante, correlando i segnali deboli di un account dirottato; dopo, contenendo e documentando. È esattamente l'articolazione della nostra offerta.
SYLink Leaks — la sorveglianza darkweb, a monte dell'intrusione
SYLink Leaks sorveglia in continuo l'esposizione della vostra organizzazione su surface web, deep web, darkweb e marketplace criminali. Il rilevamento si basa su crawler sovrani (Tor, I2P), su partnership con fornitori europei di threat intelligence e su agenti mirati distribuiti sui canali Telegram e IRC dove circolano i log degli infostealer. Tre livelli coprono i diversi gradi di maturità: Basic (12 moduli, sorveglianza di email, dominio e marchio, restituzione settimanale) per le micro imprese; Enterprise (28 moduli, con l'aggiunta di credenziali compromesse, IOC e marketplace, restituzione quotidiana) per PMI e medie imprese; VIP (58 moduli, con protezione dei dirigenti, rilevamento dell'usurpazione di marchio e deep web mirato, allerte in tempo reale) per grandi gruppi, operatori critici ed enti governativi. Punto determinante: la qualificazione finale è umana. I nostri analisti francesi validano ogni allerta e le attribuiscono un livello di criticità prima dell'invio. Il principio è dichiarato: zero allerte spazzatura, perché un team sommerso dai falsi positivi finisce per non leggere più nulla.
La sorveglianza infostealer — ritrovare l'account rubato prima dell'attaccante
È il modulo che risponde direttamente allo scenario DGFiP. Incrociamo in continuo le credenziali che compaiono nelle diffusioni di log di infostealer con i vostri perimetri: nomi di dominio e sottodomini aziendali, URL delle applicazioni esposte, indirizzi professionali e — su richiesta esplicita del cliente — gli indirizzi personali degli account privilegiati, poiché è molto spesso la postazione personale la fonte della fuga. Ogni corrispondenza genera un'allerta di esposizione di credenziali con un piano di rimedio immediato: reimpostazione dell'account nella directory o nel tenant Microsoft 365, revoca delle sessioni attive e dei token, controllo degli accessi remoti aperti con quell'identità. Per costruzione le password non sono mai conservate in chiaro da noi: si conservano solo impronte crittografiche, con durata di ritenzione limitata, in conformità al GDPR.
UniSOC — il rilevamento dell'account legittimo dirottato
Quando la credenziale è sfuggita alla sorveglianza a monte, resta il rilevamento in volo. UniSOC, la nostra piattaforma SOC sovrana operata congiuntamente da SYLink Technologie e Unitel, correla in un unico punto i log SIEM, gli agenti EDR (Windows, macOS, Linux), le sonde DPI, gli eventi di autenticazione e i segnali di threat intelligence, comprese le allerte di esposizione di credenziali di SYLink Leaks. Il motore di rilevamento non ragiona per soglie assolute ma per scarti dal comportamento abituale di ciascun account: accesso da un paese mai osservato per quell'utente, volume in uscita anomalo rispetto alla propria linea di base e soprattutto numero di sollecitazioni applicative fuori norma — la firma esatta del goccia a goccia, mille piccole richieste che nessuna soglia di volume vedrà mai. La concordanza di più assi sullo stesso account porta oltre la soglia d'allerta segnali che, isolati, sarebbero rimasti muti. Oltre a ciò l'escalation è gestita da analisti francesi, con l'obiettivo di meno di quindici minuti tra un rilevamento critico e la prima azione di contenimento, l'isolamento di una postazione o la disattivazione di un account. L'infrastruttura è ospitata in Francia, certificata HDS V2, senza alcuna richiesta in uscita verso servizi terzi: i log dei nostri clienti non lasciano il territorio e l'analisi con intelligenza artificiale gira sulle nostre GPU, in locale.
Cinque misure da prendere questa settimana
1. Inventariare gli accessi remoti e gli account privilegiati. La domanda da porre al vostro IT o al vostro fornitore non è «abbiamo una VPN sicura» ma «quali identità possono aprire oggi un accesso remoto, e quale è stata usata l'ultima volta da un paese insolito». Ogni accesso remoto senza autenticazione multifattore hardware va trattato come un accesso pubblico.
2. Verificare l'esposizione già esistente. Le vostre credenziali potrebbero già circolare. Un primo rapporto di esposizione sui vostri domini, indirizzi professionali e dirigenti si produce in pochi giorni e offre una base fattuale e quantificata alla discussione di budget che seguirà.
3. Trattare la postazione personale come una superficie d'attacco. Il collaboratore che salva la password aziendale nel browser del computer di famiglia crea una porta che il vostro firewall non vedrà mai. Politica chiara, gestore di password fornito dall'azienda e sorveglianza degli indirizzi personali degli account sensibili con il loro consenso.
4. Avvisare i team esposti al phishing fiscale. Contabilità, buste paga, direzione finanziaria: questi servizi riceveranno, nei mesi a venire, messaggi costruiti su dati fiscali esatti. La regola va formalizzata: nessuna modifica di coordinate bancarie, nessun pagamento eccezionale, nessun invio di documenti fiscali senza validazione tramite un canale diverso da quello della richiesta.
5. Passare da una logica di soglia a una logica di correlazione. È il cambiamento di fondo. Finché il rilevamento poggia su regole assolute, un account legittimo dirottato resterà invisibile. È esattamente la funzione di un SOC: avvicinare segnali che nessuno guarda insieme.
Che cosa ricordare
L'incidente DGFiP non dice che l'amministrazione fiscale è mal protetta; dice che la protezione perimetrale, per quanto solida, non basta più quando l'attaccante si presenta con chiavi valide. Le imprese affrontano lo stesso schema, con mezzi di rilevamento molto inferiori e, spesso, senza alcuna visibilità sulle credenziali dei propri collaboratori già in circolazione. La buona notizia è che la finestra esiste: tra il furto della credenziale e il suo utilizzo passano settimane. Va a vantaggio solo di chi la sorveglia.
SYLink Technologie è un editore francese indipendente, fondato a Clermont-Ferrand, il cui codice, hosting, supporto e team sono interamente in Francia. Per valutare la vostra esposizione, i team SYLink sono raggiungibili su sylink.fr/contact, e una diagnosi cyber gratuita, restituita entro 48 ore da un esperto, è accessibile dalla pagina iniziale. La pagina SYLink Leaks dettaglia i tre livelli di sorveglianza e la pagina supervisione SOC presenta l'architettura di rilevamento e gli impegni di servizio.