Sanzioni al data breach di UniCredit: un quadro completo

data breach unicredit

Il Garante Privacy ha emesso una sanzione di 2,8 milioni di euro nei confronti di UniCredit per il data breach avvenuto del 2018, che ha coinvolto migliaia di clienti. La novità è che è stata sancita anche una multa di 800.000 euro alla società informatica incaricata dei test di sicurezza.

Questo fatto sottolinea che sia il titolare che il responsabile del trattamento sono chiamati a rispondere e a pagare. La responsabilità, infatti, si estende anche a chi fornisce servizi di sicurezza informatica.

Il Data Breach di UniCredit: fatti e conseguenze

Nel 2018, UniCredit è stata vittima di un massiccio attacco informatico al portale di mobile banking, coinvolgendo circa 778.000 clienti ed ex clienti. I dati personali come nome, cognome, codice fiscale e PIN di accesso al portale, sono stati compromessi.

Il Garante, nel corso dell’istruttoria, ha rilevato diverse violazioni in materia di privacy da parte della banca, che non aveva adottato misure tecniche sufficienti per contrastare gli attacchi informatici e impedito l’uso di PIN deboli. La violazione ha portato alla disponibilità non autorizzata di dati personali tramite la risposta HTTP fornita ai browser degli utenti.

Analisi dell’Istruttoria e delle responsabilità

L’istituto bancario aveva implementato alcune misure di sicurezza come il blocco quantitativo delle connessioni e un meccanismo di identificazione umana, ma queste non sono state sufficienti.

Anche la società incaricata dei test di sicurezza è stata oggetto di istruttoria. Si è scoperto che, nonostante l’effettuazione dei test, erano state individuate diverse vulnerabilità, alcune delle quali con gravità elevata, a cui non è seguita l’implementazione di misure di salvaguardia adeguate.

Le misure di sicurezza adottate

UniCredit ha fornito ulteriori dettagli sulle misure di sicurezza implementate, come il login protetto da username e password separate, il blocco dell’account dopo tre password errate e il monitoraggio delle transazioni per individuare eventuali frodi.

Il Garante ha tuttavia ritenuto che queste misure non fossero sufficienti a proteggere adeguatamente i dati personali.

Le sanzioni e le implicazioni del data breach di UniCredit

La sanzione di 2,8 milioni di euro a UniCredit si è basata sull’elevato numero di persone coinvolte, la gravità della violazione e la capacità economica della banca, mentre la società informatica incaricata dei test di sicurezza è stata multata con 800.000 euro.

Le motivazioni del Garante riguardavano l’illiceità del trattamento dei dati, evidenziando una responsabilità generale del titolare del trattamento nei confronti delle violazioni commesse.

UniCredit ha già annunciato che impugnerà la decisione davanti al Tribunale competente, evidenziando la complessità delle questioni legali e tecnologiche coinvolte.

Conclusioni e Riflessioni

Il data breach di UniCredit mette in evidenza la necessità di misure di sicurezza adeguate che possano proteggere nel modo corretto i dati personali.

Un’azione che risulta fondamentale per molte ragioni, inclusi rispetto della privacy, obblighi legali, sicurezza aziendale, competitività e reputazione. Le aziende, soprattutto le banche, dovrebbero implementare politiche e misure più robuste di cybersecurity per proteggere questi dati preziosi e mantenere la fiducia dei propri clienti.

Vuoi mantenere i tuoi dati aziendali al sicuro? Affidati a dei professionisti con oltre vent’anni di esperienza: scegli Assitech per la sicurezza dei tuoi sistemi.

Hybrid Cloud: come garantire la sicurezza informatica

hybrid cloud

Negli ultimi anni la migrazione al cloud è stata accelerata, creando ambienti ibridi diversificati e spesso privi di adeguate misure di protezione. Le aziende hanno affrontato rapidamente la sfida di rimanere operative nonostante le difficoltà derivate dalla pandemia, adottando servizi cloud in fretta per garantire la continuità del business.

Questa rapida transizione ha però portato alla creazione di ambienti poco protetti, con il 92% delle aziende che hanno adottato una strategia multi-cloud nel 2021, secondo il report State of the Cloud di Flexera. L’80% ha anche implementato soluzioni di hybrid cloud, portando ad una crescente complessità.

La superficialità nell’adottare adeguate misure di cybersecurity è stata resa evidente dai picchi di attacchi agli ambienti cloud e ai dipendenti in smart working. Dei dati particolarmente rilevanti riportati nei numerosi cloud threat report usciti dal 2020 in poi.

Cos’è l’hybrid cloud

Chiamato anche cloud ibrido, è un’architettura flessibile e scalabile che combina due o più tipi di cloud, solitamente un cloud pubblico e uno privato, integrandoli in un’unica infrastruttura.

In un ambiente hybrid cloud, le organizzazioni possono mantenere alcune applicazioni e dati sul proprio cloud privato interno, mentre altre applicazioni e dati sono ospitati sul cloud pubblico.

Le aziende adottano l’hybrid cloud per diversi motivi, tra cui:

  • Flessibilità: Consente di utilizzare al meglio le risorse sia del cloud pubblico che del cloud privato. Le applicazioni più sensibili o critiche possono essere mantenute nel cloud privato per un maggiore controllo e sicurezza, mentre le applicazioni meno sensibili possono essere ospitate sul cloud pubblico per una maggiore adattabilità.
  • Scalabilità: L’hybrid cloud consente di scalare rapidamente risorse aggiuntive quando necessario, utilizzando le risorse del cloud pubblico senza dover investire in nuove infrastrutture nel cloud privato.
  • Sicurezza: Per le aziende che trattano dati sensibili o che devono rispettare normative rigorose sulla privacy, l’hybrid cloud offre un livello aggiuntivo di sicurezza. I dati più critici possono essere conservati sul cloud privato, che offre un controllo più diretto e una maggiore sicurezza, mentre i dati meno sensibili possono essere gestiti sul cloud pubblico.
  • Efficienza dei costi: L’hybrid cloud consente di ottimizzare i costi. Si utilizza infatti il cloud pubblico per i carichi di lavoro più variabili e il cloud privato per quelli più costanti e prevedibili.

Come affrontare la sicurezza negli ambienti cloud ibridi?

Il cloud ibrido è adottato dall’89% delle aziende secondo l’Osservatorio Cloud Transformation (OCT). Tuttavia, gestire i rischi in contesti cross-cloud è diventato sempre più complesso.

La gestione del rischio in cloud ibrido è influenzata da diversi fattori, come la sovranità dei dati, il modello Zero Trust e quello di responsabilità condivisa.

Le sfide di sicurezza principali negli ambienti di cloud ibrido si concentrano su:

  • Errate configurazioni: Gli amministratori spesso rendono visibile l’infrastruttura del cloud su Internet, facilitando gli attacchi.
  • Poca visibilità: Gli ambienti multicloud sono frammentati, con una mancanza di visione centralizzata della situazione di rischio.
  • Violazione degli account: Senza autenticazione multi-fattore, gli account di amministrazione sono più esposti.
  • Vulnerabilità: I codici degli ambienti cloud possono avere delle patch mancanti o codifiche non sicure, sfruttabili dai cybercriminali.

Per affrontare queste sfide, è essenziale:

  • Assicurarsi di avere un processo unificato per misurare il rischio e gestire le minacce in ambienti ibridi.
  • Monitorare e aggiornare regolarmente le patch di sicurezza.
  • Implementare l’autenticazione multi-fattore per prevenire le violazioni degli account.
  • Utilizzare soluzioni di sicurezza cloud per una visione centralizzata della situazione di rischio.
  • Collaborare con i fornitori di servizi cloud e i partner per proteggere la supply chain e garantire la cybesecurity.

È importante prestare attenzione agli obblighi di aggiornamento delle patch, sostituire i protocolli di gestione legacy e automatizzare la sicurezza delle macchine virtuali.

I tuoi dati aziendali sono davvero al sicuro? Contattaci per proteggere al meglio i tuoi sistemi ed evitare situazioni di rischio, anche in ambienti cloud ibridi.

Avast multata per la vendita dei dati degli utenti: l’importanza della tutela della privacy

avast vendita dati

Avast, nota azienda produttrice di software antivirus, dovrà pagare una multa di 16,5 milioni di dollari a causa della vendita non autorizzata dei dati dei propri clienti. Secondo quanto emerso dagli inquirenti, questa pratica si sarebbe protratta dal 2014.

La difesa di Avast sulla vendita dei dati

L’azienda ha risposto alla Federal Trade Commission (FTC), l’ente americano che ha sancito la multa, sostenendo che i dati venduti non contenessero informazioni identificative degli utenti. Inoltre, la FTC ha formalmente proibito ad Avast di cedere i dati di navigazione degli utenti a terzi per fini pubblicitari.

Nel contesto di questo accordo, Avast ha anche annunciato la chiusura di Jumpshot, la sussidiaria a cui cedeva i dati, all’inizio del 2020.

L’investigazione condotta da Motherboard e PCMag ha rivelato che i dati venivano venduti ad aziende come Home Depot, Google, Microsoft, Pepsi e McKinsey. Anche se Avast aveva già annunciato di aver interrotto questa pratica dopo l’investigazione, sembra che non sia stato così. Successivamente a questa vicenda, l’azienda con sede a Praga ha subito dei gravi danni reputazionali. Questo perché sembra aver fallito la sua autoproclamata missione di proteggere i dispositivi degli utenti dal tracciamento online. Le ragioni dietro la vendita di dati da parte di Avast appaiono abbastanza chiare, ma il motivo rimane ancora un mistero.

Perché Avast ha venduto i dati dei propri clienti?

I dati rappresentano un’importante fonte di guadagno. Le aziende che li acquistano possono infatti utilizzarli per campagne pubblicitarie mirate e profilare gli utenti in modo dettagliato. Inoltre, incrociando questi dati con informazioni provenienti da sistemi di sicurezza come quelli di Avast, potrebbero anche monitorare specifici utenti, rendendo i dati appetibili anche per agenzie di intelligence.

Perché ogni azienda dovrebbe tutelare la privacy dei propri clienti

La tutela della privacy dei clienti è un pilastro fondamentale per qualsiasi azienda, soprattutto in quest’era in cui la raccolta e l’uso dei dati sono sempre più diffusi e sofisticati. Uno dei principali strumenti a disposizione per garantirne la tutela è il Regolamento Generale sulla Protezione dei Dati (GDPR), adottato dall’Unione Europea nel 2018.

Il GDPR rappresenta una pietra miliare nella regolamentazione della privacy dei dati personali, imponendo regole chiare e rigorose sul trattamento, definendo i diritti dei cittadini europei e le responsabilità delle organizzazioni che gestiscono tali dati.

Ecco principali punti del GDPR che evidenziano l’importanza di tutelare la privacy dei clienti:

Diritti degli individui

  • Consenso informato: le aziende devono ottenere il consenso esplicito degli individui per raccogliere e utilizzare i loro dati personali.
  • Libertà di accesso ai dati: Gli individui hanno il diritto di accedere ai propri dati personali e di richiederne la correzione o la cancellazione.
  • Portabilità dei dati: Le persone hanno il diritto di trasferire i propri dati da un servizio a un altro, garantendo il controllo su dove e come vengono utilizzati.

Obblighi delle aziende

  • Responsabilità: Le aziende sono tenute a proteggere i dati personali in modo adeguato, implementando misure di sicurezza adeguate.
  • Notifica di violazione dei dati: In caso di violazione dei dati, le aziende sono obbligate a notificarla entro 72 ore alle autorità competenti e, in alcuni casi, anche agli individui interessati.
  • Privacy by design e by default: Il GDPR incoraggia le aziende a progettare i propri sistemi e servizi con la privacy integrata fin dall’inizio, nonché a implementare impostazioni di privacy predefinite.

Benefici della tutela della privacy dei clienti

  • Fiducia e reputazione: Rispettare la privacy dei clienti aiuta a costruire fiducia e ad evitare danni alla reputazione.
  • Rispetto delle leggi: Con il GDPR e altre leggi sulla privacy, le aziende devono rispettare delle regole rigorose per evitare sanzioni significative.
  • Minimizzazione dei rischi: La protezione dei dati riduce il rischio di frodi, abusi o violazioni della sicurezza potenzialmente pericolose.
  • Differenziazione competitiva: Un’azienda che si impegna nella protezione dei dati si distingue positivamente dai concorrenti, attraendo i clienti più attenti alla privacy.

L’episodio di Avast non è isolato e sembra essere parte di una tendenza più ampia in cui le aziende monetizzano i dati dei propri utenti nonostante gli sforzi dei regolatori per proteggere la privacy. Tutelare la privacy dei clienti, specialmente nel contesto del GDPR, non rappresenta solo una questione di conformità legale, ma anche di responsabilità etica e di vantaggio competitivo.

La tua azienda tutela i dati personali dei clienti? Contattaci per saperne di più e scoprire come essere GDPR compliant.