Nella notte del 21 gennaio, l’assistente fiscale Waltio è stato vittima di una fuga di dati, seguita rapidamente da un tentativo di estorsione attribuito al gruppo di hacker “Shiny Hunters”. Secondo le prime informazioni, potrebbero essere coinvolti circa 50.000 utenti, mentre le autorità francesi hanno avviato un’indagine. Fino a che punto è giustificabile la centralizzazione dei dati sensibili quando diventa uno strumento privilegiato per i criminali informatici?
Gli “Shiny Hunters” dietro l’estorsione legata alla fuga di dati Waltio
Nella notte del 21 gennaio, l’assistente fiscale Waltio ha dichiarato di essere stato informato di una fuga di dati. Le autorità francesi si sono occupate del caso e delle indagini per determinare la natura dei dati rubati e identificare le vittime.
Da un comunicato stampa pubblicato da Pierre Morizot, CEO di Waltio, apprendiamo che la piattaforma è stata attaccata da un malintenzionato che ha fornito un campione per verificare l’autenticità del suo reato.
Secondo un articolo del quotidiano Le Parisien, dietro l’attacco ci sarebbe il famoso gruppo di hacker “Shiny Hunters”. Questi ultimi affermano di essere in possesso dei dati personali di circa 50.000 clienti (1/3 degli utenti), la maggior parte dei quali si trova nella Francia metropolitana.
Sembra che l’aggressore abbia contattato l’azienda Waltio e chiesto un riscatto. Non appena ricevuto il messaggio, sono state avviate le procedure di gestione dell’incidente. L’azienda spiega di aver ingaggiato esperti esterni per “analizzare la situazione con il massimo livello di rigore”.
Infatti, in un comunicato, la sezione per la lotta alla criminalità informatica (J3) della Procura di Parigi ha annunciato di aver affidato le indagini all’Unità nazionale cyber della Gendarmeria nazionale (UNCyber).
Secondo Waltio, i primi elementi dell’indagine mostrano che l’intrusione non è più attiva e che tutti i servizi della piattaforma funzionano normalmente.
Per quanto riguarda i dati interessati, l’ambito è limitato alla “generazione di relazioni fiscali 2024, chiuse al 31/12/2024”, sempre secondo il comunicato. È quindi possibile recuperare l’indirizzo e-mail dell’utente e i dati delle relazioni (guadagni, perdite, saldi).
Per sua natura, l’assistente fiscale di Waltio aggrega i dati dei vostri conti sulle piattaforme di scambio per analizzarli e calcolare l’importo delle vostre plusvalenze imponibili.
Pierre Morizot precisa comunque, per rassicurare gli utenti, che “nessun dato che consenta di accedere alle vostre cripto-attività è stato compromesso”. Inoltre, ricorda che la piattaforma non richiede alcuna informazione relativa alla vostra identità (nome, cognome, indirizzo postale, numero di telefono, data di nascita).
La società spiega che sta proseguendo le indagini effettuando una revisione completa della cronologia del proprio sistema informatico (SI). Verrà inviata una comunicazione diretta agli utenti potenzialmente interessati, accompagnata da raccomandazioni “chiare e operative”.
Inoltre, Waltio annuncia di essere impegnata a proseguire la notifica dell’incidente alla CNIL e di aver presentato denuncia tramite il proprio avvocato, Maître Romain Chilly, presso la sezione J3 della procura di Parigi.
Il rischio principale: gli attacchi di ingegneria sociale
Come specificato nel comunicato, il rischio principale con questo tipo di fughe di notizie non è il furto tecnico dei fondi. Gli aggressori preferiranno sfruttare elementi contestuali per prendere di mira le vittime con phishing o tentativi di truffa.
Questi ultimi utilizzeranno diversi pregiudizi cognitivi per mettervi in una situazione di stress e spingervi a commettere un errore:
- incitamento a reagire rapidamente;
- minaccia di perdita finanziaria;
- usurpazione di una figura legittima;
- paura delle conseguenze negative;
- pressione sociale…
È quindi particolarmente importante identificare chiaramente il proprio interlocutore. È possibile verificare l’autenticità di un’e-mail Waltio grazie al codice di sicurezza presente in fondo alle e-mail di marketing inviate. Verificate la corrispondenza con quelli presenti nel vostro account, raccomanda Waltio.
Va inoltre ricordato che la società non possiede il vostro numero di telefono e il vostro indirizzo postale, quindi non riceverete chiamate, SMS o posta da parte loro.
Questo evento contribuisce a rafforzare il clima di paura tra i possessori di criptovalute sul territorio francese. Negli ultimi tempi, i casi di rapimenti, sequestri e minacce continuano a fare notizia.
La centralizzazione di informazioni sensibili crea un unico serbatoio di dati e costituisce un importante punto di vulnerabilità. L’elenco particolarmente lungo delle fughe di dati (che include un certo numero di organismi pubblici) registrate dal sito bonjourlafuite per l’anno 2025 mette in discussione la legittimità dell’accesso a questo tipo di dati da parte di alcuni servizi.
Come spiega l’Adan, questa raccolta ha spesso origine da requisiti normativi; è opportuno rivedere la dimensione sostanziale del trattamento di questi dati per non creare nuove superfici di vulnerabilità.
L’Adan osserva con grande preoccupazione il moltiplicarsi, dall’inizio del 2026, di gravi atti di violenza nei confronti di investitori e attori del settore delle criptovalute in Francia. Questi fatti richiedono una risposta da parte delle autorità pubbliche all’altezza della situazione…
— Adan (@adan_asso) 23 gennaio 2026
Indipendentemente dalle protezioni assegnate a un sistema informativo, quest’ultimo sarà sempre vulnerabile. Pertanto, per ridurre la superficie di attacco, l’unica soluzione sembra essere la minimizzazione dei dati: zero dati, zero fughe di informazioni.
