Il Garante Privacy sanziona Wind Tre

Data Breach Wind Tre: il Garante Privacy sanziona per 1,7 milioni di euro

Un data breach può costare caro, non solo in termini di reputazione ma anche di sanzioni economiche. Il Garante per la protezione dei dati personali ha inflitto a Wind Tre una sanzione di 1.715.600 euro per gravi carenze nella sicurezza dei propri sistemi. L’istruttoria ha accertato due accessi abusivi che hanno coinvolto i dati personali di oltre 365mila clienti.

Il caso nasce dalla notifica di due data breach effettuata dall’azienda nel febbraio 2025. Da lì è partita un’istruttoria approfondita, che ha ricostruito nel dettaglio le modalità dell’attacco e le responsabilità dell’organizzazione coinvolta.

Come è avvenuto l’attacco a Wind Tre

Gli hacker si sono finti tecnici dell’assistenza. Hanno convinto gli operatori di due punti vendita a concedere l’accesso ai sistemi aziendali. In questo modo hanno sottratto i dati anagrafici e di contatto dei clienti coinvolti.

Per 41.359 persone, l’esfiltrazione ha riguardato anche i metodi di pagamento. Sono stati coinvolti bollettini postali, IBAN e numeri di carte di credito parzialmente oscurati, insieme alla data di scadenza. Si tratta quindi di dati particolarmente sensibili, utilizzabili per frodi finanziarie.

L’episodio conferma un modello di attacco ormai ricorrente. I criminali informatici non colpiscono solo l’infrastruttura tecnologica, ma prendono di mira anche le persone che la gestiscono ogni giorno.

Le carenze individuate dal Garante nella gestione del data breach

Il Garante ha riscontrato carenze nella gestione delle credenziali di accesso. Ha rilevato inoltre problemi nei certificati digitali dell’azienda, elementi centrali per proteggere l’accesso ai sistemi aziendali.

Le verifiche di sicurezza svolte da Wind Tre non avevano individuato le vulnerabilità poi sfruttate dagli hacker. Controlli più approfonditi le avrebbero probabilmente rilevate. Pertanto, l’Autorità ha giudicato insufficiente il livello di protezione adottato dall’azienda rispetto ai rischi effettivi.

Nella determinazione dell’importo, il Garante ha comunque considerato le misure correttive adottate successivamente da Wind Tre. Questo aspetto ha inciso sulla quantificazione finale della sanzione.

Perché il social engineering resta una minaccia concreta

L’attacco a Wind Tre dimostra che le tecniche di social engineering restano molto efficaci. Bastano un operatore poco formato e una richiesta ben costruita per aprire una breccia nei sistemi aziendali.

Di conseguenza, la formazione del personale è importante quanto le misure tecniche. Le aziende devono investire in entrambe le direzioni per ridurre concretamente il rischio di violazioni simili.

Inoltre, servono procedure chiare per verificare l’identità di chi richiede assistenza da remoto. Un semplice protocollo di controllo può fermare un attacco prima che diventi un incidente su larga scala.

Cosa insegna questa sanzione alle aziende

Il caso Wind Tre conferma quanto sia rilevante una gestione strutturata del data breach, dalla prevenzione alla risposta agli incidenti. Tuttavia, prevenire resta sempre più efficace ed economico che rimediare a violazione avvenuta.

Le imprese dovrebbero verificare periodicamente le proprie procedure di autenticazione. Inoltre, è utile testare regolarmente la resistenza dei sistemi con controlli di sicurezza approfonditi e percorsi di formazione dedicati al personale a contatto con i clienti.

Infine, è essenziale predisporre in anticipo un piano di risposta agli incidenti. Sapere esattamente come agire nelle prime ore dopo una violazione riduce i danni e agevola il rispetto degli obblighi di notifica previsti dal GDPR.

Il caso si inserisce in un trend più ampio: negli ultimi mesi il Garante ha sanzionato diverse aziende italiane per carenze simili nella protezione dei dati. Il messaggio dell’Autorità è chiaro. La sicurezza informatica non è più un tema puramente tecnico, ma un requisito di conformità che coinvolge l’intera organizzazione, dai vertici agli operatori in prima linea.

GetSolution supporta le organizzazioni nella gestione della sicurezza dei dati e nella compliance GDPR, dall’analisi dei rischi alla risposta agli incidenti. Contattaci per una valutazione della postura di sicurezza della tua azienda.