Ricevere all’improvviso una mail che invita a non aprire, non leggere e a cancellare subito dei messaggi arrivati sei settimane prima ha dell’assurdo, eppure è successo davvero. A muoversi in questo modo è stata Postel S.p.A., la società del gruppo Poste Italiane che si occupa dei servizi di posta elettronica certificata, contattando i propri utenti con una comunicazione che di tempestivo ha davvero poco.
Il 18 e 19 giugno scorsi un problema di configurazione del sistema ha fatto sì che messaggi partiti da caselle PEC dei domini @pec.bancoposta.it e @pec.posteitaliane.it finissero nelle caselle di posta ordinaria di destinatari sbagliati. E parliamo di contenuti delicati, perché secondo la stessa Postel quelle mail potrebbero contenere dati personali e informazioni strettamente riservate e confidenziali.
Cosa chiede Postel a chi ha ricevuto quei messaggi
La comunicazione arrivata in questi giorni contiene un elenco di richieste piuttosto preciso, ovvero non aprire i messaggi, cancellarli in modo definitivo, non conservarne copia, non diffonderli e infine rispondere alla mail per confermare di aver fatto tutto. C’è però un cortocircuito evidente, perché come si fa a capire se un messaggio è arrivato per errore senza prima aprirlo? Nella maggior parte dei casi, semplicemente non si può.
Il nodo più spinoso, però, è un altro. Postel non dice quante caselle PEC siano state coinvolte, quanti messaggi siano finiti a persone sbagliate, né quante persone abbiano ricevuto dati personali altrui per sbaglio. Nessun numero, nessuna indicazione sulla reale portata dell’incidente. E, cosa non da poco, non è chiaro se chi possedeva le caselle da cui sono partiti quei messaggi, cioè chi credeva di comunicare in modo certificato e riservato, sia stato avvisato di quanto accaduto. Il testo diffuso dalla società è generico e scarno di dettagli. Spiega che il 18 e 19 giugno, per un problema di configurazione del sistema usato in qualità di gestore qualificato di posta elettronica certificata, sono stati inviati per errore messaggi dai domini @pec.bancoposta.it e @pec.posteitaliane.it verso caselle di posta ordinaria. Poi la lunga lista di raccomandazioni, la richiesta di conferma scritta e le scuse per l’inconveniente.
Una richiesta di conferma che sa di autotutela
Quella richiesta di conferma scritta, arrivata con tanto ritardo, ha tutta l’aria di uno strumento pensato più per proteggere l’azienda che le persone i cui dati sono stati esposti. Del resto Postel non è nuova a vicende di questo tipo. Nel luglio 2024 il Garante Privacy aveva sanzionato la società con una multa da 900.000 euro dopo un attacco ransomware del 2023 che aveva esposto i dati personali di circa 25.000 persone, tra dipendenti, ex dipendenti e partner commerciali, comprese informazioni sensibili di tipo sanitario e giudiziario.
In quell’occasione l’Autorità aveva contestato a Postel di non essere intervenuta per quasi un anno su una vulnerabilità già nota dei propri sistemi. Un precedente che, messo accanto a questa comunicazione arrivata a sei settimane di distanza, racconta abbastanza chiaramente quanto la tempestività non sia il suo punto forte.
