I più gravi attacchi informatici in Francia

La Francia ha subito una serie di violazioni di sicurezza su una scala che pochi paesi possono eguagliare. Su France Travail sono stati resi pubblici i dati di ben 43 milioni di persone, ovvero più della metà della popolazione. Tutti e quattro gli operatori di telefonia mobile del paese – Orange, Bouygues, Free e SFR – hanno subito il furto dei dati dei propri clienti a distanza di circa diciotto mesi l’uno dall’altro.

Questo articolo tratta otto casi documentati, ciò che è stato effettivamente sottratto e lo schema che accomuna i casi più gravi.

I più gravi attacchi informatici in Francia

1. France Travail (2024): 43 milioni di persone

Tra il 6 febbraio e il 5 marzo 2024, alcuni hacker sono penetrati nei sistemi di France Travail, l’agenzia nazionale per l’occupazione precedentemente nota come Pôle emploi, e di Cap emploi. Le organizzazioni hanno segnalato l’accaduto alla CNIL l’8 marzo. Tra i dati compromessi figuravano nomi, numeri di previdenza sociale, identificativi France Travail, indirizzi e-mail e postali e numeri di telefono. Tra i dati sottratti non figuravano password né coordinate bancarie.

La cifra di 43 milioni comprende tutte le persone attualmente iscritte come in cerca di lavoro, chiunque sia stato iscritto negli ultimi vent’anni e chiunque possieda un account candidato sul sito web. Si sospetta che il responsabile sia il gruppo LockBit. Da allora France Travail è stata nuovamente presa di mira: si tratta del terzo incidente in meno di due anni, con un attacco successivo che ha colpito circa 340.000 persone in cerca di lavoro.

2. ANTS (2026): 11,7 milioni di conti amministrativi

L’Agence nationale des titres sécurisés gestisce passaporti, carte d’identità nazionali, patenti di guida e documenti di immatricolazione dei veicoli tramite il sito ants.gouv.fr. Nell’aprile 2026 il Ministero dell’Interno ha confermato che la violazione ha interessato circa 11,7 milioni di account, rendendola la più grande fuga di dati amministrativi pubblicamente attribuita a un servizio statale francese.

3. Bouygues Telecom (2025): 6,4 milioni di conti, compresi gli IBAN

Nell’agosto 2025 Bouygues Telecom ha reso noto un accesso non autorizzato ai dati personali relativi a 6,4 milioni di account di clienti. Le categorie di dati compromesse includevano recapiti, dati contrattuali, informazioni sullo stato civile, dati aziendali per i clienti commerciali e codici IBAN dei conti correnti bancari.

È proprio la presenza degli IBAN a rendere questa violazione più pericolosa della maggior parte delle altre. Un numero di conto corrente abbinato ai dettagli di un contratto reale trasforma un messaggio truffaldino generico in qualcosa che sembra una corrispondenza autentica.

4. Orange, Free e SFR: il resto del settore

Nel luglio 2025 Orange ha subito un attacco informatico che ha colpito milioni di abbonati. Free Mobile è stata vittima di una violazione alla fine del 2024, con la conseguente divulgazione dei dati di 19 milioni di abbonati e 5 milioni di IBAN. A novembre 2024, in seguito a un attacco, i dati di 3,6 milioni di clienti di SFR sono stati pubblicati online. Se si aggiunge Bouygues, si tratta di tutti i principali operatori di telefonia mobile francesi coinvolti in un arco di diciotto mesi.

5. La Poste, La Banque Postale e Mondial Relay

Il servizio postale, la sua divisione bancaria e il servizio di spedizione pacchi Mondial Relay figurano tutti tra gli incidenti di violazione dei dati più ricercati in Francia. Per un gruppo postale e bancario, la combinazione di dati relativi all’indirizzo e rapporti finanziari è proprio ciò che rende preziosi i dati rubati: un malintenzionato che sa sia dove vivi sia che stai aspettando un pacco ha tutto ciò che serve per inviare un messaggio convincente.

6. Alinto (2026): 40 milioni di record di metadati relativi alle e-mail

Una violazione presso il fornitore di servizi di posta elettronica Alinto ha portato alla divulgazione di circa 40 milioni di record di metadati relativi alle e-mail. L’elenco dei clienti coinvolti comprendeva L’Oréal, Renault, Carrefour e Hermès, che avevano tutti affidato in outsourcing i propri servizi di posta elettronica a tale fornitore. Nessuno di questi marchi è stato vittima di una violazione diretta, ed è proprio questo che rende questo caso degno di approfondimento.

7. Gli ospedali francesi: dove si fa sul serio

Nella notte tra il 20 e il 21 agosto 2022, il Centre Hospitalier Sud Francilien di Corbeil-Essonnes è stato vittima di un attacco ransomware. I neonati hanno dovuto essere trasferiti fuori dal reparto di neonatologia. Gli autori dell'attacco hanno chiesto un riscatto di 10 milioni di dollari e, non avendo ricevuto il pagamento, hanno pubblicato 11 gigabyte di dati rubati.

A dicembre 2022 è stata la volta dell’ospedale André-Mignot di Versailles, a gennaio 2024 dell’ospedale Simone Veil di Cannes e a luglio 2025 dell’ospedale privato della Loira a Saint-Étienne, dove sono state acquisite le cartelle cliniche di 126.000 pazienti.

8. Scuole e banche

Sia le scuole secondarie francesi che le banche compaiono regolarmente nelle ricerche relative alle violazioni. Nel settore dell’istruzione, l’obiettivo è solitamente la piattaforma amministrativa che contiene i dati degli studenti e dei genitori. Nel settore bancario, invece, è il rapporto con il cliente stesso a essere a rischio, poiché la fuga di dati in questo ambito si traduce in un tentativo di trasferimento di fondi molto più rapidamente che in qualsiasi altro settore.

Panoramica sui più gravi attacchi informatici avvenuti in Francia

Gli otto casi sopra riportati, affiancati. La settima colonna è quella da leggere due volte: in quasi tutti i casi, il punto di accesso è stato una persona, un fornitore o una password riutilizzata, non una vulnerabilità zero-day.

Cosa hanno in comune questi attacchi

I dati in sé raramente sono il vero obiettivo. France Travail ha perso i numeri di previdenza sociale. Bouygues e Free hanno perso gli IBAN. Alinto ha perso i metadati delle e-mail appartenenti a clienti come Renault e Carrefour. Nulla di tutto ciò è direttamente monetizzabile. Ciò che garantisce all’autore dell’attacco è la credibilità necessaria per il passo successivo: una telefonata, un’e-mail o un SMS contenente dettagli che solo un’organizzazione legittima dovrebbe conoscere.

Spesso il punto di accesso è il fornitore. L’Oréal, Renault, Carrefour e Hermès non hanno subito violazioni. È stato invece il loro provider di posta elettronica a subire una violazione. Se i vostri dati sono in possesso di una terza parte, il livello di sicurezza di quest’ultima diventa parte integrante del vostro.

Le conseguenze non sono sempre di natura finanziaria. A Corbeil-Essonnes, i neonati sono stati trasferiti fuori dal reparto di terapia intensiva neonatale. Ecco cosa succede quando un ransomware colpisce un’organizzazione che non può interrompere le proprie attività per una settimana.

Non si tratta principalmente di errori tecnici. Nella maggior parte dei casi, qualcuno è stato indotto a compiere un’azione: aprire un file, approvare un accesso, condividere una credenziale. Si tratta di una decisione umana, che funziona secondo lo stesso principio dell’esca: basta fornire a una persona un motivo plausibile per agire e la decisione viene presa in pochi secondi.

Come proteggere la tua organizzazione

• Partiamo dal presupposto che i dati siano già stati divulgati. In caso di violazioni di questa portata, è necessario pianificare le contromisure da adottare in seguito all'attacco, piuttosto che limitarsi alla prevenzione. Il vostro personale riceverà messaggi convincenti basati su dati reali.
• Verificate chi altro detiene i vostri dati. Il caso Alinto dimostra che una violazione da parte di un fornitore diventa un vostro incidente, e i vostri clienti non faranno alcuna distinzione.
• Mettete in pratica, non limitatevi a teorizzare. Simulazioni realistiche di phishing rivelano quali team hanno bisogno di supporto prima che sia un hacker a mettere alla prova il vostro sistema.
• Includere il telefono. Gli aggressori ricorrono sempre più spesso alle chiamate per far approvare una richiesta di autenticazione a più fattori. Una formazione che si limiti alle e-mail lascia questa porta aperta.

Per le organizzazioni soggette alla direttiva NIS2, la formazione sulla sensibilizzazione è esplicitamente obbligatoria, non semplicemente raccomandata. La nostra guida sulla direttiva NIS2 illustra i requisiti previsti dalla direttiva.