Rubati i dati di 678’000 contribuenti francesi: perché è una notizia cripto (e cosa cambia per chi detiene bitcoin in Svizzera)

Il ministero delle Finanze francese ha confermato venerdì 14 agosto che un’intrusione informatica nella Direzione generale delle finanze pubbliche (DGFiP) ha portato al furto di dati di contribuenti privati e professionali. La piattaforma FrenchBreaches, che traccia le violazioni nel Paese, ha contato 678’437 persone coinvolte, circa l’1% della popolazione francese: fra queste, quasi 27’000 dichiarano un reddito di almeno 100’000 euro, 386 superano il milione e otto vanno oltre i dieci milioni.

L’accesso non autorizzato risale a fine giugno ed è stato interrotto durante controlli di routine, ma i dati erano già stati esfiltrati. L’autore, che si firma «ZeroBytes», sostiene di avere in mano oltre due milioni di posizioni fiscali e mette in vendita il database sul dark web per poche migliaia di euro. Il contenuto è quello che serve: nomi, date di nascita, indirizzi di domicilio, numeri di telefono, e-mail, identificativi fiscali e livelli di reddito.

Perché un archivio fiscale è un problema specifico per chi detiene cripto

Un bonifico bancario si può bloccare, tracciare, in certi casi revocare. Un trasferimento in Bitcoin o in un’altra criptovaluta no: è istantaneo e irreversibile. Per questo un elenco che accosta un indirizzo di casa a un reddito elevato ha un valore criminale che va oltre la truffa telefonica.

La conseguenza ha un nome nel gergo della sicurezza: wrench attack, l’aggressione fisica con cui si costringe la vittima a consegnare le chiavi del proprio portafoglio digitale. Secondo il rapporto di Chainalysis del 6 agosto, nel primo semestre 2026 questi assalti hanno fruttato oltre 30 milioni di dollari nel mondo: in sei mesi, più della metà del record annuale del 2025.

La Francia è l’epicentro: trenta episodi noti da gennaio a giugno contro i 19 dell’intero 2025, con una frequenza salita da 1,9 a 4,6 casi al mese, e una risposta giudiziaria che a metà anno contava circa 200 arresti. Chainalysis collega l’ondata a un precedente che dovrebbe far riflettere: una funzionaria del fisco della regione parigina, arrestata nel giugno 2025, è accusata di avere sottratto e venduto a reti criminali dossier su detentori di criptovalute con nomi, indirizzi e consistenze.

Che quei dati restino pericolosi anche una volta invecchiati lo mostra un caso della scorsa settimana nel dipartimento della Somme: una coppia è stata presa di mira tre volte in meno di un mese solo perché si era trasferita nella casa di due milionari in cripto, il cui indirizzo circolava sul dark web.

Non solo il fisco: anche il corriere

Il canale fiscale non è l’unico che espone un indirizzo. Il 12 agosto il produttore di portafogli hardware Trezor ha comunicato che una violazione presso ShipMonk, il suo fornitore logistico, ha compromesso i dati di quasi 14’000 clienti, inclusi numeri di telefono e indirizzi di 11’742 persone: chi ordina un dispositivo di autocustodia lascia per forza di cose una traccia che segnala esattamente ciò che i criminali cercano.

Cosa succede in Svizzera

Sul fronte dello scambio internazionale dei dati la Confederazione ha rallentato. Il 26 novembre 2025 il Consiglio federale ha deciso che le disposizioni sulle cripto-attività contenute nella legge sullo scambio automatico di informazioni — il recepimento elvetico del quadro OCSE denominato CARF — non si applicano nel 2026. L’attuazione è attesa al più presto dal 1° gennaio 2027, la prima raccolta di dati nel 2027 e il primo scambio con gli Stati partner non prima del 2028: quest’anno, in pratica, i prestatori di servizi svizzeri non trasmettono nulla ad alcuna autorità estera.

Questo non significa che in Svizzera non esistano archivi. Le criptovalute vanno dichiarate come sostanza mobiliare al valore fiscale del 31 dicembre presso l’autorità di tassazione del proprio Cantone, mentre le plusvalenze realizzate dal privato restano esenti: la logica del sistema è spiegata nella nostra guida al fisco e alle criptovalute in Svizzera. Il dato sensibile — nome, indirizzo, consistenza — è quindi già in mano alle amministrazioni cantonali, non a un archivio federale unico: una frammentazione che riduce la superficie d’attacco, non che la annulla.

Sulla custodia, la vigilanza FINMA sugli operatori cripto resta l’elemento che distingue la piazza svizzera: chi compra tramite una banca cantonale o un istituto autorizzato — è il caso di BancaStato, che offre cripto in e-banking con Sygnum alla custodia — non tiene chiavi private in casa, e quindi non è un bersaglio utile per un’aggressione domestica.

Le quattro precauzioni che valgono anche in Ticino

• Separare identità e indirizzo di consegna. Un portafoglio hardware ordinato online può essere recapitato a una casella postale o a un punto di ritiro, non alla porta di casa.
• Non concentrare tutto nello stesso posto. Una quota operativa contenuta in autocustodia e il resto presso un custode vigilato riduce sia il rischio informatico sia quello fisico.
• Evitare l’esposizione pubblica delle consistenze. Screenshot di portafogli, cifre sui social e conversazioni pubbliche sono la prima fonte di intelligence per chi seleziona i bersagli.
• Diffidare dei contatti successivi a una violazione. Dopo ogni fuga di dati arrivano ondate di phishing e finte telefonate «della banca» o «dell’ufficio delle imposte». Nessuna autorità fiscale, in Svizzera come in Francia, chiede chiavi private o frasi di recupero: gli incidenti si segnalano all’Ufficio federale della cibersicurezza.

Le quotazioni citate sono indicative al momento della pubblicazione e non costituiscono un consiglio d’investimento. Per i prezzi aggiornati si possono consultare le quotazioni cripto in tempo reale; per il quadro di vigilanza il sito della FINMA.

 [3]