Un dipendente del fisco di Bobigny, Francia, ha sfruttato i software interni per raccogliere informazioni dettagliate su esperti di criptovalute, l’imprenditore Vincent Bolloré, agenti penitenziari e un giudice. Queste informazioni sensibili sono state vendute a criminali che, dietro un pagamento di 800 euro, hanno aggredito un agente di polizia penitenziaria a Montreuil.
Il 6 gennaio, la Corte francese ha respinto l’appello dell’impiegato disonesto.
L’importanza del Caso
La rilevanza di questo episodi non risiede tanto nell’atto specifico, ma piuttosto nei criteri utilizzati per selezionare le vittime. Siamo di fronte a un’evoluzione: non si tratta più di “doxing” su Telegram o di violazioni di exchange di criptovalute. La nuova vulnerabilità è legata all’accesso privilegiato ai sistemi pubblici, che consente di associare nomi a indirizzi, numeri di telefono e relazioni famigliari con una semplice richiesta.
Nel 2024, l’Ispettorato Generale della Polizia Nazionale francese ha aperto 93 indagini per violazione del segreto professionale e 76 per deviazione di dati da database. L’agenzia ha descritto la vendita di accesso a database governativi attraverso social media e dark web come un’”uberizzazione” del traffico di dati.
I Prezzi del Mercato Nascosto
Un’inchiesta di TF1 ha rivelato il funzionamento di un vero e proprio listino prezzi su Snapchat: 30 euro per la verifica di una registrazione di veicolo, 150 euro per la consultazione di un soggetto ricercato e 250 euro per la rimozione non autorizzata di un blocco di un veicolo. La somma dei bonifici bancari collegati a un sospettato variava da 15 a 5.000 euro.
Il modello di sicurezza delle criptovalute si basa sull’irreversibilità delle transazioni e sulla gestione autonoma, eliminando i rischi derivanti da intermediari. Tuttavia, una volta che un aggressore ha accesso all’identità reale di una vittima, l’aspetto “cripto” si trasforma in un problema di coercizione, piuttosto che di crittografia.
Rischi e Vulnerabilità
Questo meccanismo ricorda la Massima Estraibilità di Valore (MEV), applicata tuttavia nel mondo reale. Online, la MEV è il risultato di una rapida osservazione delle transazioni. Nella vita reale, gli aggressori estraggono valore analizzando il grafo dell’identità e selezionando il percorso di costrizione più vantaggioso.
A dicembre, Le Parisien ha riportato un incremento degli attacchi contro investitori in criptovalute, spingendo il governo francese a emanare nel 2025 un decreto per rimuovere gli indirizzi di residenza dei dirigenti delle aziende di criptovalute dal registro commerciale.
Misure di Protezione e Sicurezza
Questa misura intende proteggere dai crimini fisici e dalle molestie, assicurando al contempo l’accesso alle informazioni necessarie per forze dell’ordine e dogane. Prima dell’adozione del decreto, il registro commerciale esponeva pubblicamente gli indirizzi personali dei dirigenti nei documenti Kbis. Sebbene questa modifica abbia chiuso una falla, migliaia di dipendenti pubblici continuano ad avere accesso ai database dell’amministrazione fiscale.
I dati fiscali contengono informazioni estremamente dettagliate: indirizzi aggiornati dalle dichiarazioni, numeri di telefono e strutture familiari risultanti da dichiarazioni di familiari a carico e plusvalenze che collegano attività a individui. È emerso che i database fiscali francesi offrono accesso a questi dati sensibili ai dipendenti.
Analisi del Rischio e delle Conseguenze
L’analisi costi-benefici pende decisamente a favore degli aggressori: mentre una ricerca può costare da decine a centinaia di euro, i guadagni da un furto possono facilmente superare diverse migliaia di euro. L’Agenzia europea per la sicurezza delle reti e dell’informazione (ENISA) ha registrato 586 incidenti nel settore pubblico dell’UE nel 2024, dimostrando che la minaccia proviene non da attacchi hacker sofisticati, ma da “insider” con accesso legittimo ai dati.
Ghalia C. ha confessato di aver fornito informazioni a tre uomini che hanno aggredito un poliziotto. Il pagamento di 800 euro suggerisce una transazione mirata. La sua cronologia di ricerca abbracciava un ampio ventaglio di figure riservate, il che implica che vendeva accesso a dati piuttosto che agire per vendetta personale.
Riconoscimento dei Rischi Fisici
I possessori di criptovalute rappresentano un target particolarmente vantaggioso per la coercizione fisica. Le risorse sono autogestite, quindi nessun blocco bancario o ordine del tribunale può fermare un trasferimento forzato. Le vittime tendono inoltre ad avere patrimoni significativi che possono essere trasferiti immediatamente. Denunciare un’aggressione implica anche la possibilità di controlli fiscali.
La modifica alle normative che ha rimosso gli indirizzi pubblici dei dirigenti segna un riconoscimento istituzionale dei rischi fisici peculiari delle criptovalute. Mentre le banche possono bloccare conti e trasferimenti, le transazioni in criptovaluta sono definitive, spostando quindi l’attenzione dalla sicurezza tecnica a quella dell’identità.
Prospettive Future
Se i dati identificativi diventano una merce rara, prevediamo tre direzioni. In primo luogo, una maggiore riservatezza registrativa, con la soppressione degli indirizzi che diventa un modello comune. In secondo luogo, potrebbero essere istituiti controlli più severi nei sistemi pubblici.
In terzo luogo, sarà fondamentale affrontare il fenomeno dell’insider trading, poiché le attuali condizioni continuano ad essere favorevoli per i criminali.
Il caso di Bobigny rivela un paradosso normativo: mentre le autorità europee rafforzano la trasparenza delle criptovalute per combattere reati come il riciclaggio, tali misure generano database centralizzati che diventano di estrema utilità per i criminali.
La proposta di un’imposta annuale sulle partecipazioni in criptovalute superiori a 2 milioni di euro potrebbe creare un elenco di individui ad alto patrimonio, aumentando il rischio di aggressioni fisiche.
La sicurezza delle criptovalute è spesso analizzata come gestione delle chiavi, ma il caso di Bobigny dimostra che la gestione delle chiavi perde rilevanza quando le minacce fisiche entrano in gioco. La protezione informatica deve quindi integrarsi con una piena considerazione dei rischi legati all’identità.