Indice
Alla fine di gennaio 2026 un attacco informatico ha colpito uno dei registri più sensibili dell’amministrazione francese: il FICOBA, il file nazionale che censisce tutti i conti bancari aperti nel paese. Non si tratta di un archivio qualsiasi. È uno strumento utilizzato dall’amministrazione fiscale, dalla magistratura e da alcune autorità investigative per individuare l’esistenza di conti correnti e i loro titolari.
Secondo quanto ricostruito dalla Direzione generale delle Finanze pubbliche francese, l’attacco ha portato alla consultazione illegittima dei dati di circa 1,2 milioni di conti bancari. Le informazioni coinvolte includono IBAN, identità del titolare, indirizzo e, in alcuni casi, l’identificativo fiscale. Non sono stati invece consultati i saldi dei conti né effettuate operazioni finanziarie.
L’episodio è interessante perché non nasce da una sofisticata intrusione tecnica nel sistema centrale. Al contrario, la porta d’ingresso è stata l’account compromesso di un funzionario pubblico, utilizzato nell’ambito dello scambio di informazioni tra ministeri. Il sistema non prevedeva l’autenticazione a due fattori: una mancanza banale ma decisiva. Rubare credenziali — tramite phishing o malware — è bastato per accedere al database.
L’intrusione è durata circa sedici giorni prima di essere individuata. Un periodo relativamente breve per incidenti di questo tipo, ma sufficiente per estrarre una quantità rilevante di dati.
Il punto cruciale è che il caso francese non riguarda un furto di denaro diretto. Riguarda qualcosa di più sottile: la materia prima delle truffe digitali.
Perché quei dati sono preziosi per i criminali
Un IBAN da solo non permette di svuotare un conto corrente. Tuttavia, combinato con nome, indirizzo e altre informazioni personali, può diventare uno strumento efficace per diversi tipi di frodi.
Il rischio principale è quello dei prelievi SEPA fraudolenti o di campagne di phishing molto mirate. Con dati reali alla mano, un cybercriminale può impersonare una banca, un fornitore energetico o un ente pubblico con un livello di credibilità molto più alto.
C’è un dettaglio tecnico spesso ignorato: molti sistemi di pagamento europei consentono di attivare un mandato di addebito partendo proprio dall’IBAN. Se la vittima non controlla con attenzione gli estratti conto, l’addebito può restare invisibile per settimane.
In altre parole, il vero valore di queste fughe di dati emerge nel tempo, quando le informazioni circolano nel mercato nero digitale e vengono combinate con altri database già rubati.
La risposta dell’amministrazione
Dal punto di vista istituzionale, la risposta è stata rapida. Dopo l’individuazione dell’intrusione sono stati immediatamente limitati gli accessi al sistema e avviata un’indagine interna. L’incidente è stato notificato all’autorità per la protezione dei dati (CNIL) e alle autorità giudiziarie.
I cittadini potenzialmente coinvolti stanno ricevendo comunicazioni individuali e l’amministrazione ha avvisato anche le banche affinché aumentino la vigilanza sui conti interessati.
Il passo più importante riguarda però l’infrastruttura: l’estensione dell’autenticazione multifattore nei sistemi pubblici, una misura che negli ambienti di sicurezza informatica è considerata ormai minima. La vicenda dimostra quanto spesso le vulnerabilità non siano tecniche ma organizzative.
Un dettaglio poco citato ma significativo: molti database governativi europei nascono negli anni Novanta o nei primi Duemila. Sono stati aggiornati nel tempo, ma la logica di accesso e le gerarchie amministrative restano spesso eredità di un’altra epoca.
Potrebbe accadere anche in Italia?
La risposta, realisticamente, è sì. Non per un deficit particolare del sistema italiano, ma perché la struttura dei sistemi informativi pubblici europei è simile.
Anche in Italia esistono archivi centralizzati estremamente sensibili: dall’Anagrafe tributaria ai registri finanziari utilizzati dall’Agenzia delle Entrate e dalla Guardia di Finanza. Questi database non contengono necessariamente il saldo dei conti, ma informazioni sufficienti per tracciare rapporti finanziari.
Il vero rischio non è tanto l’hacker solitario quanto l’errore umano.
Account compromessi, password riutilizzate, accessi concessi a troppe persone. Gli incidenti più seri negli ultimi anni in Europa hanno spesso questa origine. La sicurezza dipende meno dal firewall e più dal comportamento quotidiano di migliaia di dipendenti.
Come si accorge un cittadino che qualcosa non va
Nella maggior parte dei casi non ci si accorge della violazione nel momento in cui avviene. Le prime tracce arrivano settimane dopo.
Segnali tipici includono:
- email o SMS di phishing estremamente personalizzati, spesso con dati reali;
- tentativi di attivazione di addebiti SEPA non autorizzati;
- contatti telefonici che citano informazioni bancarie plausibili.
A volte il primo campanello d’allarme è molto prosaico: un piccolo addebito da pochi euro che passa inosservato tra le spese quotidiane.
Le mosse concrete per correre ai ripari
Quando si sospetta che i propri dati bancari possano essere stati esposti, le azioni utili sono relativamente semplici ma devono essere rapide.
La prima è monitorare con attenzione i movimenti del conto, soprattutto i mandati di addebito automatici. In caso di operazione sospetta, la banca può annullarla e bloccare il mandato.
Molti istituti permettono anche di attivare sistemi di “lista bianca”, dove solo determinati creditori possono effettuare prelievi.
Un’altra precauzione, spesso trascurata, riguarda l’identità digitale: se i dati personali circolano, è probabile che qualcuno provi a usarli per attacchi di phishing contro email o servizi online.
C’è un comportamento che gli esperti ripetono da anni ma che continua a essere ignorato: non fidarsi mai di comunicazioni che chiedono dati sensibili, anche quando sembrano provenire da istituzioni ufficiali.