Il Garante privacy ha inflitto una sanzione a Wind Tre Spa per gravi carenze nella sicurezza dei sistemi aziendali
Due accessi abusivi e l’esfiltrazione – ossia il “trasferimento intenzionale, non autorizzato e occulto” – di dati personali di oltre 365mila clienti. Questi i motivi per cui il Garante privacy ha inflitto una sanzione di 1.715.600 euro a WindTre S.p.A. per le gravi carenze nella sicurezza dei sistemi aziendali che hanno determinato un flusso incontrollato di dati.
Per oltre 40mila clienti l’esfiltrazione ha riguardato anche le informazioni relative ai metodi di pagamento utilizzati, come il bollettino postale, l’Iban, la carta di credito con il numero parzialmente oscurato e la data di scadenza.
L’indagine del Garante è partita dopo che WindTre aveva notificato due violazioni dei dati personali avvenute nel febbraio 2025. Secondo quanto accertato dall’Autorità, gli hacker sono riusciti a introdursi nei sistemi aziendali ricorrendo a una tecnica di ingegneria sociale: fingendosi tecnici dell’assistenza, hanno convinto gli operatori di due punti vendita ad autorizzare l’accesso ai sistemi interni, riuscendo così a sottrarre le informazioni dei clienti.
Nel corso dell’istruttoria sono emerse diverse criticità nella gestione della sicurezza: in particolare, il Garante ha rilevato carenze nella protezione delle credenziali di accesso e dei certificati digitali. Inoltre, i controlli di sicurezza effettuati dall’azienda non erano stati sufficientemente approfonditi e non avevano individuato vulnerabilità che avrebbero potuto essere rilevate con verifiche più accurate. Proprio queste falle hanno reso possibile l’accesso abusivo ai sistemi e il conseguente furto dei dati.
