Hackers, pirati ed esperti informatici, probabilmente operanti da Paesi esteri, per quattro mesi hanno bypassato tutte le misure di sicurezza poste dall’Irs, l’Agenzia delle Entrate statunitense, a protezione di decine di database con al loro interno la memoria fiscale di centinaia di milioni di contribuenti individuali, di milioni di aziende e di multinazionali e di migliaia di agenzie ed enti pubblici e privati. Una rotta fiscale e informatica senza precedenti. A oggi, infatti, i profili dei contribuenti che sono stati violati sono all’incirca 610mila. Di questi, ben 334mila sono stati completamente svuotati e quindi, da mesi, nella piena disponibilità degli hacker.
I numeri del cybercrime fiscale – I dati diffusi in questi giorni dall’Irs sono oramai in fase di definizione e quindi prossimi alla certezza, non più stime blande come quelle indicate all’inizio della vicenda. In sostanza, i contribuenti i cui profili fiscali sono stati violati e le cui identità razziate sono 610mila. In realtà, specifica l’Amministrazione finanziaria statunitense, su 610mila contribuenti, sono 334mila quelli che realmente hanno subito violazioni complete di dati e che quindi potranno essere soggetti, in futuro, a furti di identità, per esempio per richiedere rimborsi indebiti da parte dell’Irs, o ad altre intromissioni nella propria vita privata e lavorativa.
La porta informatica violata dagli hacker – L’Irs ha anche ricostruito, e in parte ridisegnato, la strategia e le dinamiche messe in campo dai pirati informatici impegnati nel penetrare i database custoditi dal fisco. La via d’accesso utilizzata dagli hackers si è combinata, dopo un primo tentativo d’infiltrarsi, nel sistema informatico dell’Irs andato a vuoto, con una applicazione ad hoc denominata“Get Transcript”, la cui principale funzionalità è quella di consentire ai contribuenti registrati di poter aver accesso e visione completa dei dati e delle informazioni trasmesse negli anni al Fisco attraverso la compilazione e l’invio delle rispettive dichiarazioni dei redditi. Una sorta di portale che, di fatto, funge da contenitore di milioni di profili e memorie tributarie, ora in parte violate. È la prima volta che accade. Altri casi si erano verificati in passato, ma avevano avuto ad oggetto sistemi e applicazioni meno complesse, scarsamente rilevanti e mai così estese, protette e monitorate.
Il danno – La vulnerabilità, l’impenetrabilità dei database, ora non più certezze, sono il primo chiaro danno subito dall’Irs. Un deficit non soltanto numerico ma psicologico, perché se l’Amministrazione finanziaria non è in grado di salvaguardare la privacy dei contribuenti, come sarà in futuro possibile garantirla? In secondo luogo, il danno numerico, contabile. In pratica, nei 4 mesi passati i pirati informatici, agendo da località esterne ai confini statunitensi, hanno indirizzato ben 15mila false richieste di rimborso all’Irs utilizzando l’escamotage delle false identità, ottenendo così circa 50 milioni di dollari recapitati presso indirizzi e conti transitori, utili solo per formalizzare la richiesta e ottenere il beneficio, cioè il presunto rimborso fiscale. In questo caso, disponendo i pirati informatici di tutti i dati e i profili necessari, la frode è stata largamente semplificata.
Come porre riparo al cyber-gap – Innanzitutto, l’Irs ha di fatto bloccato il sistema al centro delle violazioni informatiche ripetute, cioè il “Get Transcript”, e allo stesso tempo ha offerto assistenza completa ai contribuenti a rischio, inviando lettere specifiche, contattando i diversi soggetti interessati e offrendo un sistema informatico ad hoc ai contribuenti, parallelo nelle funzionalità ma alternativo a quello violato dagli hacker. In questo modo, con nuovi codici e nuove strumentazioni, oltre al monitoraggio personale offerto dall’Irs, i contribuenti che hanno visto le loro identità e i loro profili fiscali violati, potranno continuare a condurre le loro attività abituali. Almeno questo è l’auspicio.
