In questa violazione non è stata rubata nessuna password - e non è la rassicurazione che sembra

Il ministero delle Finanze francese ha confermato che qualcuno è entrato nei sistemi della DGFiP, la sua amministrazione fiscale, ed ha estratto dati appartenenti a 678.000 tra privati e aziende. Non c'è stato alcun exploit sofisticato. L'intruso ha usato le credenziali di un dipendente dell'ufficio delle imposte e di un collaboratore esterno, si è collegato alla VPN dell'agenzia e ha eseguito ricerche tramite uno strumento interno. È successo a fine giugno, il 26. All'epoca fu rilevato e bloccato, e rimase fuori dai riflettori finché un venditore con lo pseudonimo "ZeroBytes" non ha messo in vendita il database su un forum di hacking il 12 agosto.

Il ministero è chiaro sul fatto che ID utente, password e account online non sono stati compromessi. Ora guardiamo cosa lo è stato: nomi, date di nascita, indirizzi, numeri di telefono, situazione familiare, reddito di riferimento e aliquota di ritenuta, oltre a ragioni sociali e dati catastali comprensivi di indirizzi e dimensioni dei terreni. Il venditore rivendica inoltre altri 252.149 record catastali riguardanti oltre due milioni di persone, dato che il ministero non ha confermato.

Per un truffatore quella lista vale molto più di una password. Chi conosce già il vostro indirizzo, la vostra situazione familiare e il vostro reddito imponibile reale non deve nemmeno sforzarsi di sembrare credibile. E il calendario rende la cosa ancora più tagliente: il ministero afferma che comincerà a contattare le persone coinvolte la prossima settimana, via email o lettera. Chiunque segua la notizia ha ora sia uno script già pronto sia un motivo plausibile per inviarvi un link.

Da qui una regola semplice per le prossime settimane. Se arriva un messaggio sulla propria posizione fiscale, ignorate il link e ignorate il numero di telefono, per quanto ufficiale possa apparire l'intestazione. Aprite il browser, digitate voi stessi l'indirizzo dell'agenzia delle entrate e accedete come fate sempre. I rimborsi veri non comportano mai una commissione, e gli uffici fiscali veri non raccolgono numeri di carta per telefono.

Il controllo Privacy e account di Tendvane mostra quali dei vostri indirizzi email sono già comparsi in violazioni note, un'indicazione utile di quanto di voi stia già circolando prima che arrivi l'email convincente.