19 Milioni di Identità Francesi in Vendita: Quando l'Agenzia che Emette i Tuoi Documenti Perde i Tuoi Dati

Il 15 aprile 2026 i sistemi di rilevamento di France Titres — l'agenzia governativa francese precedentemente nota come ANTS, Agence Nationale des Titres Sécurisés — hanno generato un alert su attività anomala interna al portale ants.gouv.fr, l'infrastruttura web attraverso cui i cittadini francesi richiedono e gestiscono passaporti, carte d'identità elettroniche, patenti di guida e libretti di circolazione. La risposta interna è stata classica: contenimento, isolamento del sistema interessato, avvio della catena di notifica obbligatoria sotto GDPR. CNIL (l'autorità francese di protezione dati), ANSSI (l'agenzia nazionale per la sicurezza dei sistemi informatici) e la Procura di Parigi sono state coinvolte secondo procedura.

Il 16 aprile, sulle bacheche di un noto forum criminale anglofono, è comparso un annuncio in vendita firmato "breach3d" — alias usato anche come "ExtaseHunters" e in alcune ricostruzioni come parte di un collettivo che include "EvilDump". L'inserzione conteneva un campione dei dati e un prezzo iniziale a sette cifre per il dataset completo: tra 18 e 19 milioni di record relativi a cittadini francesi titolari di account ants.gouv.fr. Per dare la misura: la Francia ha circa 68 milioni di abitanti, di cui circa 53 milioni adulti. Il dataset ne tocca, secondo le stime degli stessi attori, oltre un terzo. È, per impatto demografico, uno dei breach più estesi mai documentati a carico di un'agenzia di Stato europea.

Il governo francese ha confermato l'incidente il 21 aprile, sei giorni dopo il rilevamento, con un comunicato che descrive l'esposizione come "potenziale" e specifica le categorie di dati coinvolte. Le notifiche individuali agli interessati sono state avviate. Il vettore tecnico iniziale non è stato divulgato pubblicamente, ma le firme operative sono coerenti con la categoria MITRE ATT&CK T1190 — Exploit Public-Facing Application: una vulnerabilità sull'applicazione web esposta su Internet, sfruttata per ottenere accesso al backend e alle basi dati.

Cosa È Stato Esfiltrato (e Cosa No)

La precisione su questo punto è cruciale, perché determina la classe di rischio per ogni cittadino interessato. Secondo la comunicazione di France Titres e le campionature pubblicate dagli attaccanti sui forum, i dati esfiltrati comprendono: identificativo di login, nome e cognome completi, indirizzo email, data di nascita, identificativo univoco di account, e per una porzione dei record anche indirizzo postale, luogo di nascita, numero di telefono, sesso e stato civile. Si tratta del set tipico di un account utente su un portale di servizi pubblici, non del corpus completo di un documento di identità.

Quello che, secondo le ricostruzioni attualmente disponibili, non è stato esfiltrato: i numeri identificativi dei documenti emessi (passaporto, CIE, patente), le immagini biometriche (foto, impronte) custodite per la stampa dei documenti, le firme manuali digitalizzate, gli scan dei documenti giustificativi caricati dai richiedenti. Questa distinzione è importante: senza il numero di documento e senza le biometrie, lo scenario di "clonazione del documento" è remoto. Lo scenario realistico — e gravemente probabile — è un altro.

Il Vettore Probabile: T1190 e la Geometria delle App di Stato

Senza un comunicato tecnico ufficiale, ogni attribuzione di vettore è inferenza ragionata. Le inferenze convergono però su una direzione: una vulnerabilità sull'applicazione web pubblica, probabilmente in un endpoint di gestione account o di recupero credenziali, sfruttata per ottenere lettura non autorizzata di una porzione consistente del database utenti. Le ipotesi specifiche includono SQL injection — la classe di vulnerabilità più storicamente associata a esfiltrazioni di massa di account — IDOR (Insecure Direct Object Reference) su API che enumerano record per ID, oppure abuso di una funzione legittima di esportazione amministrativa attraverso una sessione compromessa.

Le applicazioni governative europee condividono un'architettura tipica che amplifica il rischio: sono spesso costruite come monolitici PHP o Java EE su database relazionali centralizzati, evolvono per stratificazione (un modulo aggiunto sopra l'altro nel corso di anni), sono soggette a vincoli di compatibilità con sistemi legacy interni, e operano sotto vincoli di budget che rendono il refactoring di sicurezza sistematica un'eccezione anziché una regola. Il risultato è che una falla in un endpoint apparentemente secondario — un form di recupero password, una pagina di "verifica eligibilità", un'API di lookup interna — può aprire l'accesso all'intero corpus utenti. Il portale ants.gouv.fr non è strutturalmente diverso, in questo, da SPID, dall'app IO o dai portali di Anagrafe Nazionale dei nostri ministeri.

Perché Dovrebbe Interessare un Italiano: Tre Linee di Esposizione Dirette

Il caso France Titres non è una cronaca estera. Per chi in Italia ricopre ruoli sensibili — giornalisti, avvocati, dirigenti aziendali, magistrati, professionisti che gestiscono dossier di valore — esistono tre linee di esposizione concrete che giustificano un'analisi puntuale del proprio rischio.

Prima linea: i cittadini italiani residenti o con interessi in Francia. Decine di migliaia di italiani lavorano in Francia, hanno acquistato seconde case nei Paesi della Loira o sulla Costa Azzurra, mantengono conti bancari francesi, gestiscono partecipazioni in società francesi. Molti di costoro hanno aperto account su ants.gouv.fr per ottenere il titolo di soggiorno, per richiedere una patente francese, per gestire documenti del coniuge francese. Se il vostro nome è in quel dataset, le mail di phishing che riceverete nelle prossime settimane saranno costruite con dati reali che pochi al di fuori della vostra famiglia conoscono. La verifica si fa: chiedete al vostro fiscalista o legale francese se figurate nelle notifiche CNIL.

Seconda linea: il phishing italiano costruito su template francese. Storicamente le ondate di phishing post-breach migrano: il dataset originale viene venduto, replicato, integrato con altri dataset (LinkedIn 2021, varie ondate di credential stuffing), e il know-how operativo si trasferisce. Aspettatevi nelle prossime settimane campagne di phishing italiane che imitano lo stile di France Titres ma sono adattate a SPID, INPS, Agenzia delle Entrate. Gli attaccanti che hanno avuto successo con i francesi proveranno la stessa tecnica con noi. Le caratteristiche da riconoscere: mail "personalizzata" che cita data di nascita o indirizzo, urgenza ("verifica entro 48 ore"), link che porta a un dominio simile ma non identico al portale ufficiale.

Terza linea: la geopolitica dei breach come arma. Il caso si inserisce in un'ondata europea — Salt Typhoon sulle telecom (8 aprile 2026), Equalize sulle banche dati italiane, APT28 PRISMEX su NATO/Ucraina (10 aprile 2026) — che mostra una progressiva normalizzazione dell'esfiltrazione di dataset di Stato come prassi degli attori avversari. Che breach3d sia un attore criminale puro o una facciata di un gruppo state-nexus, il risultato non cambia: il bottino finisce sui mercati grigi e diventa disponibile a chiunque lo paghi. Servizi di intelligence ostili, criminalità organizzata, attori di influenza politica.

Il Diritto di Sapere: GDPR, Notifiche e Cosa Pretendere

Il GDPR impone all'agenzia titolare del trattamento — France Titres — l'obbligo di notificare l'autorità di controllo (CNIL) entro 72 ore dalla scoperta e gli interessati senza ingiustificato ritardo quando la violazione presenta un rischio elevato per i diritti e le libertà delle persone fisiche. Il primo obbligo è stato assolto. Il secondo è in corso: France Titres ha annunciato l'invio progressivo di notifiche individuali nelle settimane successive al 21 aprile.

Per i cittadini italiani con account ants.gouv.fr, due strade pratiche sono aperte. La prima: monitorare la propria casella email registrata sul portale e verificare che la notifica arrivi effettivamente — se non arriva entro fine maggio, è il caso di chiedere proattivamente all'agenzia, citando la propria identificativo di account, se i propri dati figurano nel dataset compromesso. La seconda: depositare un reclamo presso CNIL (cnil.fr) qualora si subisca un danno concreto — phishing andato a segno, frode bancaria, furto di identità riconducibile alla violazione — chiedendo l'apertura di un fascicolo individuale e la valutazione del danno risarcibile.

L'Italia È al Sicuro? Specchio Italiano del Rischio

La domanda implicita che ogni decisore italiano dovrebbe porsi non è "siamo francesi?", è "abbiamo, in Italia, l'equivalente strutturale di France Titres?". La risposta è plurale e poco rassicurante. SPID gestisce l'autenticazione di milioni di cittadini ai servizi della PA. App IO custodisce le notifiche pubbliche e le interazioni transazionali. Anagrafe Nazionale della Popolazione Residente (ANPR) custodisce i dati anagrafici della totalità dei residenti. Sistema TS dell'Agenzia delle Entrate gestisce i dati sanitari per la dichiarazione precompilata. INPS amministra la posizione contributiva di decine di milioni di lavoratori. Ognuno di questi sistemi è, per architettura e per perimetro dati, un omologo o un superset funzionale di ants.gouv.fr.

Nessuno di questi sistemi è "sicuramente vulnerabile" e nessuno è "sicuramente sicuro". La storia recente — il caso Equalize che AEGIDA ha analizzato il 10 aprile, le ricorrenti vulnerabilità SPID emerse negli anni, l'incidente Inps del 2020 sui bonus partita IVA — suggerisce che le difese strutturali italiane non siano peggiori di quelle francesi, ma certamente non siano migliori. La differenza è nella casistica: la Francia ha avuto il suo breach pubblico questa settimana, l'Italia ha avuto il suo a ondate negli anni. Quello che manca, in entrambi i Paesi, è una postura sistemica: rate-limit obbligatori per legge sulle API di Stato, separazione strutturale tra accesso single-record e accesso bulk, alerting unificato in stile SOC nazionale (la Direzione Generale per la Sicurezza Cibernetica al Ministero dell'Interno è un primo passo, ma non sostituisce il monitoraggio applicativo end-to-end).

Cinque Mosse Pratiche per i Professionisti Italiani

1. 1.Verifica posizione personale: se avete o avete avuto un account ants.gouv.fr, controllate la casella email registrata e attendete la notifica CNIL. In assenza, contattate proattivamente il servizio di assistenza dell'agenzia entro fine maggio 2026.
2. 2.Revisione email professionale: assumete che ogni mail apparentemente da agenzia di Stato (italiana o francese) per le prossime sei-otto settimane sia potenziale phishing. Verifica del dominio mittente, accesso ai portali via URL diretto, mai via link in mail.
3. 3.Hardening dell'autenticazione: dove disponibile, sostituire SMS-2FA con passkey o app TOTP su tutti gli account che custodiscono dati sensibili o accessi a servizi della PA — SPID di livello 3, app IO, Sistema TS, INPS, banca.
4. 4.Per i giornalisti e gli avvocati: separazione dei canali. Identità "amministrativa" (SPID, conto corrente, agenzie di Stato) su un dispositivo, identità "professionale" (corrispondenza con fonti o assistiti) su un dispositivo diverso. La compromissione di un canale non deve compromettere l'altro.
5. 5.Per le aziende con dipendenti che gestiscono account ants.gouv.fr (uffici risorse umane, fiscali, legali): briefing operativo specifico ai dipendenti coinvolti nelle prossime due settimane, con esempi di phishing attesi e procedura di escalation in caso di sospetto.

La Lezione di Fondo: l'Identità È un Asset di Stato — e di Bersaglio

Per troppo tempo nel dibattito pubblico italiano la sicurezza dell'identità digitale è stata trattata come un problema burocratico — "come emettere il documento elettronico", "come integrare SPID con i servizi" — anziché come un problema di sicurezza nazionale. Il caso France Titres, insieme al caso Equalize sull'altro versante (esposizione tramite operatori interni invece che attaccanti esterni), riporta la questione al suo livello reale: l'infrastruttura che certifica chi siamo è critica almeno quanto la rete elettrica e i sistemi di pagamento, e va trattata con la stessa serietà.

Per i professionisti italiani che gestiscono dossier di valore — corrispondenza con fonti riservate per i giornalisti, comunicazioni privilegiate con assistiti per gli avvocati, decisioni strategiche per i dirigenti — la lezione operativa è che la difesa non può più essere delegata interamente alle agenzie di Stato. La separazione dei canali, il controllo della propria postura digitale, l'investimento in dispositivi e flussi di lavoro che riducono la superficie d'attacco diventano responsabilità individuali. Non perché lo Stato sia inadeguato, ma perché lo Stato — francese, italiano o di qualunque altra giurisdizione — è esso stesso un bersaglio, e quando viene colpito, il blast radius arriva direttamente sui suoi cittadini.