Il Garante per la protezione dei dati personali ha inflitto a Wind Tre una sanzione da 1.715.600 euro per le gravi carenze di sicurezza che hanno permesso agli hacker di violare i sistemi aziendali in due occasioni distinte. L'esfiltrazione ha coinvolto i dati personali di oltre 365mila clienti.
Per una parte di essi, esattamente 41.359 utenti, il danno � pi� profondo: gli aggressori hanno sottratto anche le informazioni relative ai metodi di pagamento, tra cui il bollettino postale, l'Iban, il numero parzialmente oscurato della carta di credito e la relativa data di scadenza.
L'istruttoria dell'Autorit� nasce dai due data breach notificati dalla stessa Wind Tre nel febbraio 2025. Le indagini hanno ricostruito la dinamica dell'attacco: i criminali informatici si sono finti tecnici dell'assistenza e sono riusciti a convincere gli operatori di due punti vendita a concedere l'accesso ai sistemi aziendali. Da l�, il passo verso l'esfiltrazione dei dati anagrafici e di contatto dei clienti � stato breve.
Le falle individuate dal Garante che hanno consentito i data breach
Al centro delle contestazioni ci sono le modalit� di gestione delle credenziali di accesso e dei certificati digitali, ritenute inadeguate a contenere un attacco basato essenzialmente su tecniche di ingegneria sociale. Il Garante ha rilevato pure che i controlli di sicurezza condotti internamente da Wind Tre non erano bastati a intercettare vulnerabilit� che verifiche pi� approfondite avrebbero invece individuato.
