La sospensione degli account non ha fermato il furto in DGFiP
Il punto debole non è stato un login rubato, ma la fiducia nel percorso di accesso: con credenziali di un dipendente e di un terzo, più un bypass della MFA, gli attaccanti sono entrati abbastanza bene da continuare a leggere ed estrarre dati anche dopo la sospensione degli account evidenti. In questo tipo di incidente, bloccare il nome utente giusto non basta se il varco reale passa da identità delegate o partner.
DGFiP ha confermato che i dati di 678.000 persone sono stati esfiltrati. Nel pacchetto ci sono reddito fiscale di riferimento, aliquota alla fonte, nomi di società, identificativi univoci e dati catastali su indirizzi e superfici immobiliari. L’accesso era stato rilevato a giugno e luglio, poi sospeso subito; solo le verifiche successive hanno chiarito che il furto era già avvenuto e che gli account usati erano un dipendente e un account di terza parte.
Per gli ambienti pubblici che affidano record sensibili a identità interne o di fornitori, il messaggio è netto: il rischio non finisce con la disattivazione dell’account visibile. Se il percorso di accesso include credenziali esterne e una seconda verifica aggirabile, il perimetro reale resta aperto finché non si capisce quali identità abbiano contato davvero.