Due accessi abusivi ai sistemi aziendali hanno esposto i dati personali di oltre 365mila clienti. Come hanno fatto? Gli attaccanti si sarebbero presentati come tecnici dell’assistenza, riuscendo a convincere gli operatori di due punti vendita a consentire loro l’accesso ai sistemi aziendali.

Il Garante per la protezione dei dati personali ha inflitto a Wind Tre una sanzione di 1.715.600 euro per gravi carenze nella sicurezza dei sistemi aziendali, che hanno consentito due accessi abusivi e l’esfiltrazione dei dati personali di oltre 365mila clienti.

Per 41.359 utenti, la violazione ha riguardato anche informazioni relative ai metodi di pagamento utilizzati, tra cui bollettini postali, Iban, carte di credito con numero parzialmente oscurato e data di scadenza.

L’istruttoria dell’Autorità è stata avviata in seguito a due data breach notificati dalla società nel febbraio 2025.

Criminal hacker si sono finti tecnici dell’assistenza

Secondo quanto ricostruito dal Garante, gli attaccanti si sarebbero presentati come tecnici dell’assistenza, riuscendo a convincere gli operatori di due punti vendita a consentire loro l’accesso ai sistemi aziendali.

Attraverso questa tecnica di social engineering, i criminal hacker sono riusciti a sottrarre dati anagrafici e informazioni di contatto dei clienti. L’attacco non si è quindi basato esclusivamente sullo sfruttamento di vulnerabilità tecniche, ma anche sulla capacità di ingannare il personale e ottenere credenziali o autorizzazioni necessarie per accedere alle infrastrutture della società.

Carenze nella gestione di credenziali e certificati digitali

Nel corso dell’istruttoria, il Garante ha riscontrato criticità nella gestione delle credenziali di accesso e dei certificati digitali utilizzati per accedere ai sistemi aziendali.

L’Autorità ha inoltre rilevato che le verifiche di sicurezza effettuate da Wind Tre non avevano individuato alcune vulnerabilità che avrebbero potuto emergere attraverso controlli più approfonditi.

Queste carenze hanno permesso ai criminali di accedere ai sistemi della società e di procedere all’esfiltrazione dei dati personali. Secondo il Garante, le misure adottate non erano quindi adeguate al livello di rischio e alla quantità di informazioni trattate dall’operatore di telecomunicazioni.

Violati gli obblighi di sicurezza del GDPR

L’Autorità ha accertato la violazione dei principi di integrità e riservatezza dei dati personali e degli obblighi di sicurezza previsti dal GDPR.

Il regolamento europeo impone infatti ai titolari del trattamento di adottare misure tecniche e organizzative adeguate per proteggere i dati da accessi non autorizzati, perdita, alterazione o divulgazione illecita. Nel caso di Wind Tre, le misure di sicurezza non sono state considerate sufficienti a prevenire gli accessi abusivi e a proteggere le informazioni dei clienti. Il Garante ha quindi ordinato alla società di intervenire sui propri sistemi e sulle procedure interne per ridurre il rischio che episodi analoghi possano ripetersi.

Wind Tre dovrà rafforzare i sistemi di protezione

Oltre alla sanzione economica, l’Autorità ha imposto a Wind Tre una serie di misure correttive. La società dovrà rafforzare i sistemi di protezione delle credenziali e dei certificati digitali, introdurre strumenti più sicuri per la gestione delle password e migliorare le procedure di sicurezza informatica.

Gli interventi dovranno riguardare sia gli aspetti tecnologici sia quelli organizzativi, compresa la gestione degli accessi da parte dei dipendenti e degli operatori dei punti vendita.

Nel determinare l’importo della sanzione, il Garante ha tenuto conto di alcuni elementi favorevoli a Wind Tre. In particolare, l’Autorità ha considerato la tempestiva notifica dei due data breach, le misure correttive adottate dopo gli attacchi e la collaborazione fornita dalla società durante l’istruttoria.

Vai al sito di Cybersecurity Italia.

L'articolo Wind Tre, esposti i dati personali di oltre 365mila clienti: multa da 1,7 milioni di euro dal Garante Privacy sembra essere il primo su CyberSecurity Italia.