DGFiP, SafePal, Philips, GE, Wesco e LexisNexis affrontano incidenti cyber

🛡️ Executive Summary

• La DGFiP francese conferma il furto di dati fiscali relativi a 678.000 persone e professionisti dopo l’abuso di credenziali legittime.
• SafePal espone dati d’ordine di 39.798 clienti, mentre Clop rivendica Philips e GE nel quadro della campagna contro PTC Windchill.
• Wesco indaga su una presunta esfiltrazione CRM di ExfilSquad e LexisNexis sospende servizi dopo attività anomala presso un provider.

Una nuova sequenza di incidenti mette insieme fisco, criptovalute, industria, supply chain e servizi informativi enterprise. La DGFiP francese ha confermato il furto di dati appartenenti a 678.000 persone e professionisti, mentre SafePal ha notificato quasi 40.000 clienti dopo una falla nella funzione di tracciamento degli ordini. Philips e General Electric stanno verificando le rivendicazioni di Clop, nel contesto della campagna contro PTC Windchill e FlexPLM. Wesco ha confermato un incidente nel proprio ambiente CRM dopo le accuse di ExfilSquad, mentre LexisNexis ha sospeso alcuni servizi dopo avere rilevato attività anomala su server gestiti da un fornitore esterno.

DGFiP perde dati fiscali di 678.000 persone

La Direction générale des Finances publiques ha ricostruito due accessi illegittimi avvenuti tra giugno e luglio 2026 attraverso l’usurpazione delle credenziali di un dipendente DGFiP e di un soggetto terzo autorizzato. Il comunicato del Ministero dell’Economia francese chiarisce che gli account coinvolti erano stati disabilitati dopo la rilevazione iniziale, ma i primi controlli non avevano individuato l’esfiltrazione. Le verifiche successive hanno stabilito che gli accessi erano stati utilizzati per consultare ed estrarre dati di 678.000 soggetti, tra cui reddito fiscale di riferimento, quoziente familiare, aliquota della ritenuta alla fonte e, per le imprese, ragione sociale e numero SIREN. Sono state inoltre consultate informazioni catastali su indirizzi e superfici immobiliari. Gli account fiscali personali e professionali non risultano compromessi e password e credenziali degli utenti non sono state sottratte. La dinamica mostra ancora una volta il problema degli accessi validi abusati, dove l’intrusione può mimetizzarsi meglio rispetto a un exploit tradizionale. È lo stesso elemento che torna nelle campagne di social engineering capaci di trasformare identità legittime in accessi enterprise.

SafePal espone ordini e indirizzi di quasi 40.000 clienti

SafePal ha invece individuato una falla di autorizzazione nel plug-in utilizzato per il tracciamento degli ordini. In determinate condizioni, il componente consentiva di visualizzare informazioni appartenenti a un cliente differente. Secondo la comunicazione ufficiale di SafePal, l’accesso non autorizzato ha coinvolto 39.798 clienti che avevano effettuato ordini tra il 2 marzo 2025 e l’11 aprile 2026, esponendo nome, email, indirizzo di spedizione, numero telefonico e dettagli dell’acquisto. Seed phrase, chiavi private, password del wallet, conti bancari e numeri delle carte non risultano coinvolti.

Il rischio principale arriva però dopo il breach. Sapere che una determinata persona ha acquistato un hardware wallet permette di costruire phishing estremamente mirato, false comunicazioni di assistenza, richieste di aggiornamento firmware o perfino contatti fisici all’indirizzo della vittima. SafePal afferma di avere già rimosso oltre 30 siti e link fraudolenti collegati a queste attività e ha ridotto a 90 giorni la retention dei dati nell’ambiente di elaborazione degli ordini. Il caso segue di pochi giorni il breach Trezor causato attraverso il provider logistico ShipMonk e conferma che per i produttori di hardware wallet il rischio non riguarda soltanto seed e firmware: l’identità fisica del possessore del dispositivo è essa stessa un’informazione sensibile.

Philips e GE verificano le rivendicazioni di Clop

Philips e General Electric sono comparse nel nuovo gruppo di vittime rivendicato da Clop. Philips ha confermato di avere individuato e contenuto un tentativo di compromissione su un server aziendale contenente dati interni, precisando che gli ambienti dei clienti non sono stati interessati. GE ha invece attivato le proprie procedure di risposta e sta verificando la portata delle affermazioni del gruppo. Clop sostiene di avere sottratto dati da decine di organizzazioni, ma quantità e contenuto dei file rivendicati non sono stati verificati indipendentemente.

La campagna viene collegata al mass exploitation di PTC Windchill e FlexPLM, già utilizzato per sottrarre progetti e documentazione industriale attraverso CVE-2026-12569. La stessa ondata ha portato nelle ultime ore alla rivendicazione contro Shell insieme ai breach di RingCentral e Trezor. Il modello Clop resta quello dell’estorsione basata sui dati: compromettere in massa un software enterprise molto diffuso, estrarre rapidamente proprietà intellettuale e documenti e utilizzare la minaccia di pubblicazione senza dover necessariamente distribuire ransomware sugli endpoint.

Wesco conferma un incidente nel proprio ambiente CRM

Wesco International ha confermato di stare indagando su un incidente che interessa il proprio ambiente cloud CRM, dopo che ExfilSquad ha rivendicato l’esfiltrazione di circa 2,6 milioni di record. Il gruppo sostiene che i dati comprendano informazioni su clienti e dipendenti, profili CRM, identificativi aziendali e metadata di autenticazione. Wesco afferma tuttavia di non ritenere a rischio informazioni di pagamento, conti finanziari o altri dati particolarmente sensibili e non ha osservato ransomware o malware nei propri sistemi IT. Le attività aziendali sono proseguite normalmente.

Il vettore non è stato reso pubblico. ExfilSquad è però già comparso nella violazione del Police National Legal Database britannico, dove era stata valutata l’ipotesi di configurazioni eccessivamente permissive in ambienti Microsoft Power Platform senza poterla confermare come causa definitiva. Anche nel caso Wesco sarebbe quindi scorretto trasformare la presenza di un CRM cloud o di tecnologie Microsoft in una prova sul percorso d’accesso. Il fatto confermato resta più circoscritto: Wesco riconosce l’incidente CRM, ExfilSquad rivendica il furto e la quantità dei dati resta una dichiarazione dell’attore criminale.

LexisNexis spegne servizi collegati a server di un fornitore

La situazione di LexisNexis è ancora più prudente. La società ha rilevato attività anomala su server ospitati e gestiti da un provider esterno e ha deciso di disconnettere i sistemi interessati, portando offline Nexis Diligence, Newsdesk e Metabase API. È stata coinvolta una società specializzata in incident response e gli ambienti interessati vengono ricostruiti prima del ritorno completo in produzione. LexisNexis non ha attribuito l’attività a un gruppo, non ha confermato furti di dati e ha precisato che il proprio prodotto Metabase API non ha alcun rapporto con il servizio Metabase Cloud colpito recentemente da una vulnerabilità SQL injection.

L’episodio arriva però dopo precedenti compromissioni della società. A marzo, React2Shell era stato collegato a un accesso ai sistemi AWS di LexisNexis e alla successiva pubblicazione di dati legacy. Non esistono elementi pubblici che colleghino quell’incidente a quello di agosto e trattarli come parte della stessa operazione sarebbe prematuro. Il dato operativo più rilevante è invece la scelta di sacrificare temporaneamente la disponibilità dei servizi per isolare un’infrastruttura terza considerata non più affidabile.

Il dato rubato resta la principale leva di monetizzazione

I cinque casi descrivono percorsi differenti. La DGFiP subisce l’abuso di credenziali legittime, SafePal una falla applicativa, Philips e GE verificano una campagna di mass exploitation, Wesco affronta una presunta esfiltrazione CRM e LexisNexis reagisce a un’anomalia su infrastrutture di terze parti. Il denominatore comune è però la centralità del dato come obiettivo primario o come asset da proteggere durante l’incidente. La distinzione tra conferma e rivendicazione resta fondamentale. I 678.000 record DGFiP e i 39.798 clienti SafePal sono quantità dichiarate dalle organizzazioni coinvolte; i 2,6 milioni di record Wesco restano invece una cifra attribuita a ExfilSquad; Philips riconosce un accesso circoscritto, GE continua a indagare e LexisNexis non ha confermato alcuna esfiltrazione. È proprio questa separazione a evitare che ogni incidente venga automaticamente trasformato in “mega data breach” prima che le verifiche tecniche siano terminate.