GarantePrivacy

WindTre si ritrova a fare i conti con una sanzione salata: oltre un milione e 700mila euro decisi dal Garante Privacy dopo due violazioni di dati che, nel giro di pochi giorni, hanno colpito altrettanti punti vendita dell'operatore. Al centro della vicenda ci sono degli accessi non autorizzati a una web application usata dalla rete commerciale, ottenuti tramite tecniche di ingegneria sociale. Il provvedimento risale a maggio ma è diventato pubblico soltanto ora. E il meccanismo usato dagli attaccanti, a leggere le carte, è tanto semplice quanto efficace. Hanno chiamato al telefono gli addetti dei negozi fingendo di dover fornire assistenza tecnica, riuscendo così a ottenere l'accesso remoto ai dispositivi. Da lì il resto è venuto quasi da sé. Due episodi, uno molto più grave dell'altro Nel primo caso il danno è rimasto contenuto: 66 ricerche nel database e i dati di 23 clienti finiti esposti. Il secondo episodio, invece, ha avuto tutt'altra portata. Sono state eseguite circa 2 milioni di ricerche, aumentando via via l'identificativo cliente, con l'esposizione dei dati di oltre 365mila persone. Un numero che spiega da solo la gravità della vicenda e il peso della multa. Le informazioni finite nelle mani sbagliate riguardavano soprattutto dati anagrafici e di contatto. Ma per più di 41mila persone la faccenda si è fatta più delicata, perché sono stati esposti anche i dati legati al metodo di pagamento. Parliamo di bollettino postale, IBAN oppure carta di credito, quest'ultima con numeri parzialmente oscurati e la relativa data di scadenza. Cosa ha contestato il Garante e la risposta di WindTre L'Autorità ha puntato il dito su alcune carenze nella gestione dei certificati digitali, delle credenziali e dei controlli sulle API. Secondo il Garante, certificati e chiavi private avrebbero meritato una protezione più robusta. Stesso discorso per le API più esposte, che secondo l'Autorità andavano difese meglio con strumenti come il rate limiting, i controlli anti bot e test mirati. Dal canto suo WindTre ha ribattuto di avere già diverse misure di sicurezza attive. Tra queste l'autenticazione a tre fattori, i captcha, i firewall, il tracciamento delle attività, il blocco degli accessi notturni e il monitoraggio delle consultazioni. Insomma, non una struttura scoperta, almeno sulla carta. Dopo gli attacchi l'operatore si è mosso su più fronti. Ha revocato i certificati dei punti vendita coinvolti, inviato alert alla rete vendita e abbassato le soglie dei captcha. Poi ha introdotto il rate limiting sulle API considerate a rischio, resettato le password e avviato attività di formazione e controlli pensati proprio per contrastare le tecniche di ingegneria sociale, che restano il vero anello debole di tutta la catena.

GarantePrivacy

WindTre, maxi multa privacy: esposti i dati di 365mila clienti