Il Garante Privacy ha imposto a WindTre una sanzione superiore a 1,7 milioni di euro in seguito a due violazioni dei dati personali avvenute a distanza di pochi giorni presso altrettanti punti vendita dell’operatore. Gli episodi, resi pubblici solo di recente, hanno coinvolto una web application interna utilizzata dalla rete commerciale, compromessa tramite tecniche di ingegneria sociale che hanno permesso agli attaccanti di accedere ai dispositivi dei negozi.
Due incidenti distinti, impatti molto diversi
Nel primo episodio, gli autori dell’attacco hanno contattato telefonicamente il personale fingendo di fornire supporto tecnico, ottenendo così l’accesso remoto ai sistemi. Da qui sono state effettuate 66 interrogazioni nel database aziendale, con esposizione dei dati di 23 clienti.
Il secondo caso ha avuto conseguenze decisamente più ampie: gli attaccanti hanno eseguito circa 2 milioni di ricerche, incrementando progressivamente l’identificativo cliente e accedendo alle informazioni di oltre 365mila persone. I dati consultati riguardavano informazioni anagrafiche e di contatto, mentre per più di 41mila utenti risultavano visibili anche dettagli relativi ai metodi di pagamento, come IBAN, bollettini postali o numeri parziali di carte di credito.
Le contestazioni del Garante
Secondo il provvedimento, le criticità riscontrate riguardano la gestione dei certificati digitali, delle credenziali e dei controlli sulle API. L’Autorità ritiene che certificati e chiavi private avrebbero dovuto essere protetti con strumenti più robusti e che le API esposte necessitassero di misure aggiuntive come rate limiting, controlli anti‑bot e test di sicurezza mirati.
WindTre ha dichiarato di disporre già di diverse misure, tra cui autenticazione a tre fattori, captcha, firewall, tracciamento delle attività e blocco degli accessi notturni. Dopo gli incidenti, l’operatore ha revocato i certificati compromessi, abbassato le soglie captcha, introdotto rate limiting sulle API più sensibili, resettato le password e avviato attività di formazione per contrastare le tecniche di social engineering.
Misure correttive richieste
Pur riconoscendo gli interventi successivi agli attacchi, il Garante ritiene che alcune lacune tecniche e organizzative fossero evitabili e abbiano contribuito alla sottrazione massiva dei dati. Oltre alla sanzione, WindTre dovrà:
- custodire i certificati digitali con sistemi più sicuri;
- introdurre password manager per i punti vendita;
- formalizzare procedure più rigorose per emissione, distribuzione, revoca e rinnovo di certificati e credenziali.
L’operatore dovrà comunicare all’Autorità, entro 30 giorni, le iniziative intraprese per adeguarsi alle prescrizioni.
0 commenti