Wind Tre paga oltre un milione e settecentomila euro dopo che il Garante per la protezione dei dati personali ha accertato gravi carenze nella sicurezza dei propri sistemi aziendali. La sanzione arriva a conclusione di un’istruttoria avviata dopo due episodi di violazione dei dati personali notificati dall’operatore, che hanno esposto le informazioni di oltre 365mila clienti.
Come gli hacker hanno bucato i punti vendita
Gli attaccanti hanno contattato telefonicamente il personale di due negozi, presentandosi come tecnici dell’assistenza interna. Attraverso questa messinscena hanno convinto gli operatori a concedere l’accesso remoto ai dispositivi aziendali, aggirando così le barriere previste dai protocolli di sicurezza interni. Una volta entrati nei sistemi, hanno effettuato decine di interrogazioni nel database dei clienti, estraendo progressivamente i dati anagrafici, i recapiti e, in un numero significativo di casi, anche le informazioni relative ai metodi di pagamento utilizzati per i contratti di fornitura, comprese le coordinate bancarie e i numeri delle carte di credito con il codice parzialmente oscurato.
Le lacune individuate dal Garante nella gestione della sicurezza
L’Autorità ha individuato carenze precise nella gestione delle credenziali di accesso e dei certificati digitali. Le verifiche condotte dalla società prima degli episodi non avevano rilevato le vulnerabilità che sarebbero emerse con controlli più approfonditi, nonostante l’operatore avesse già introdotto strumenti come l’autenticazione a più fattori, il monitoraggio degli accessi e periodici test di penetrazione sui propri sistemi.
Wind Tre ha sostenuto durante il procedimento che gli episodi fossero riconducibili soprattutto a comportamenti umani legati alle tecniche di ingegneria sociale, piuttosto che a debolezze strutturali dell’infrastruttura informatica, e ha ricordato di aver denunciato gli attacchi all’autorità giudiziaria e di aver avviato un gruppo di lavoro interno dedicato all’analisi di episodi simili verificatisi anche presso altre aziende del settore. Il Garante ha comunque ordinato all’operatore di rafforzare la protezione delle credenziali, introdurre strumenti più sicuri per la gestione delle password e migliorare le procedure adottate dalla rete dei punti vendita, tenendo conto ai fini della sanzione anche della tempestività della notifica e della collaborazione fornita nel corso dell’istruttoria.
