Ordinanza ingiunzione o revoca n. 572 del 04/07/2024

Postel S.p.A. - data breach ransomware, notifica incompleta e misure di sicurezza inadeguate

Il provvedimento riguarda Postel S.p.A. e trae origine dalla notifica di una violazione di dati personali conseguente a un attacco ransomware rivendicato dalla cybergang Medusa. L’Autorità ha ritenuto che la società abbia presentato una segnalazione incompleta e che non abbia adottato tempestivamente misure tecniche adeguate a protezione dei sistemi compromessi, con particolare riferimento a vulnerabilità note di Microsoft Exchange.

Origine del procedimento e svolgimento dell’istruttoria

Postel S.p.A. ha notificato il data breach il 17 agosto 2023, integrando la comunicazione fino al 4 ottobre 2023. L’attacco ha causato il blocco di alcuni server e postazioni di lavoro, l’attivazione delle procedure di recovery/restore e l’esfiltrazione di file contenenti dati personali poi pubblicati nel dark web. Per alcuni file presenti nelle cartelle di rete, la società non è riuscita a ripristinare i dati, con conseguente perdita di disponibilità limitatamente a tali informazioni.

L’Autorità ha chiesto ulteriori informazioni il 13 ottobre 2023, in particolare sulle vulnerabilità sfruttate e sulle informazioni rese, quale responsabile del trattamento, ai titolari coinvolti. La società ha risposto il 23 ottobre 2023, precisando che l’attacco aveva interessato sistemi usati per attività interne e che i dati di 22 clienti erano stati esfiltrati; ha inoltre dichiarato di aver informato i titolari coinvolti ai sensi dell’art. 33, par. 2, GDPR.

Estensione della violazione e categorie di dati coinvolti

Secondo quanto rappresentato nella notifica, la violazione ha riguardato complessivamente circa 25.000 interessati. Le categorie di dati compromessi erano molteplici: dati anagrafici, dati di contatto, dati di accesso e identificazione, dati di pagamento, dati relativi a condanne penali e reati, documenti di identificazione/riconoscimento, dati idonei a rivelare l’appartenenza sindacale e dati relativi alla salute.

I dati riguardavano lavoratori, ex lavoratori, congiunti dei dipendenti, titolari di cariche societarie, candidati a posizioni lavorative e referenti di imprese con rapporti commerciali con la società. Per una parte dei dati trattati in qualità di titolare, Postel ha ritenuto sussistente un rischio elevato e ha quindi effettuato le comunicazioni agli interessati ai sensi dell’art. 34 GDPR.

Notifica del data breach ritenuta insufficiente

Il Garante ha ritenuto che la notifica non fosse conforme all’art. 33 GDPR. In particolare, nella comunicazione iniziale e nelle successive integrazioni mancavano informazioni essenziali per ricostruire l’incidente e valutare l’adeguatezza della risposta.

Sono state considerate carenti, tra l’altro:

• l’indicazione dei server impattati, in particolare i server Exchange;
• la tipologia delle vulnerabilità sfruttate dall’attaccante;
• alcuni elementi della kill chain dell’attacco;
• il dettaglio delle misure di sicurezza e delle attività di patching effettivamente adottate.

Il Garante ha osservato che la compilazione del modulo standard con indicazioni generiche non è sufficiente quando il caso richiede maggiori dettagli per comprendere natura, dinamica e conseguenze della violazione. Ha richiamato l’art. 33, parr. 3 e 5, del GDPR e le Guidelines 9/2022 on personal data breach notification, evidenziando che il titolare deve fornire anche ulteriori informazioni necessarie a spiegare compiutamente l’evento.

Inadeguatezza delle misure di sicurezza e vulnerabilità non risolte

L’Autorità ha accertato la violazione degli artt. 5, par. 1, lett. f), 25 e 32 GDPR. L’attacco ha sfruttato due vulnerabilità della piattaforma Microsoft Exchange, indicate come CVE-2022-41040 e CVE-2022-41082, già note da settembre 2022 e oggetto di raccomandazioni di mitigazione e aggiornamento da parte di Microsoft, oltre che di segnalazioni dell’ACN.

Secondo il Garante, la società non aveva implementato tempestivamente gli aggiornamenti consigliati, pur a fronte dell’elevata criticità delle vulnerabilità. Il fatto che il server interessato sia rimasto escluso dalla scansione per un errore umano non è stato ritenuto idoneo a escludere la responsabilità, anche perché il controllo del patching avrebbe dovuto essere più robusto e ridondante.

L’Autorità ha quindi ritenuto che Postel non abbia garantito su base permanente:

• la riservatezza, l’integrità e la resilienza dei sistemi e dei servizi di trattamento;
• una procedura di verifica regolare dell’efficacia delle misure tecniche;
• l’adozione di misure adeguate a proteggere i dati rispetto ai rischi concreti connessi alla vulnerabilità nota.

È stato inoltre rilevato che la mancata adozione degli aggiornamenti ha contraddetto anche i principi di protezione dei dati fin dalla progettazione e per impostazione predefinita di cui all’art. 25 GDPR.

Valutazioni difensive e ruolo di responsabile del trattamento

Postel ha sostenuto di aver attivato una struttura organizzativa e tecnica avanzata, di essere certificata ISO 9001 e ISO 27001, di aver cooperato con l’Autorità e di aver gestito l’incidente con procedure interne e misure di contenimento. Ha anche contestato che il data breach, di per sé, dimostri l’inadeguatezza strutturale delle misure di sicurezza.

Il Garante ha tuttavia ritenuto che, nel caso concreto, la società non avesse fatto tutto quanto ragionevolmente esigibile per prevenire l’evento, soprattutto perché le contromisure contro le vulnerabilità erano già state diffuse pubblicamente da tempo. Le giustificazioni relative all’errore umano nella configurazione delle scansioni e all’uso di workaround temporanei non sono state considerate sufficienti.

Quanto al profilo dell’art. 28, par. 3, lett. f), GDPR, il Garante ha invece riconosciuto che la società aveva fornito un’assistenza adeguata e tempestiva ai titolari del trattamento coinvolti, tenendo conto della necessaria attività di analisi dell’incidente. Su questo specifico addebito è stata disposta l’archiviazione.

Dichiarazione di illiceità, provvedimenti correttivi e sanzione

Il Garante ha dichiarato l’illiceità del trattamento effettuato da Postel S.p.A. per violazione degli artt. 5, par. 1, lett. f), 25, 32 e 33 GDPR. Ha ritenuto che la violazione non potesse essere considerata minore, tenuto conto della natura, della gravità, della durata, del numero di interessati coinvolti e delle categorie particolari di dati trattati.

Ai sensi dell’art. 58, par. 2, GDPR, l’Autorità ha ingiunto alla società di:

• effettuare una verifica tempestiva delle vulnerabilità nei propri sistemi e risolverle rapidamente, in ragione del rischio connesso alla protezione inadeguata dei dati;
• predisporre una procedura formalizzata per la gestione delle vulnerabilità, comprensiva della pianificazione dei controlli su tutti gli asset IT, dell’individuazione delle vulnerabilità note o potenziali e delle corrispondenti azioni di correzione e mitigazione;
• individuare per i diversi asset IT i valori di MTTD e MTTR adeguati al rischio per i diritti e le libertà degli interessati.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Per le violazioni degli artt. 5, par. 1, lett. f), 25, 32 e 33 GDPR, il Garante ha applicato una sanzione amministrativa pecuniaria di euro 900.000. Nella quantificazione ha considerato i criteri dell’art. 83, par. 2 e par. 1 GDPR, tra cui:

• natura della violazione, con coinvolgimento di principi generali del trattamento e della sicurezza;
• gravità, per il numero elevato di interessati, la perdita di disponibilità di parte dei dati e i possibili danni derivanti da perdita di controllo, furti di identità, frodi e danni reputazionali;
• durata, poiché le vulnerabilità erano note da settembre 2022 ma non risultavano risolte ad agosto 2023;
• grado di responsabilità, alla luce della mancata adozione di misure tecniche idonee nonostante gli avvisi pubblici;
• cooperazione con l’Autorità e decisione di aggiornare i sistemi con un Cybersecurity Improvement Plan;
• condizioni economiche della società e sanzioni irrogate in casi analoghi.

Il Garante ha inoltre disposto la pubblicazione del provvedimento sul proprio sito e ha richiesto alla società di comunicare entro 120 giorni le iniziative adottate per dare esecuzione alle prescrizioni, con avvertimento che l’eventuale mancato riscontro può comportare ulteriori conseguenze sanzionatorie.

Termini di adempimento e tutela giurisdizionale

Le prescrizioni correttive devono essere adempiute entro 90 giorni dalla notifica del provvedimento. Il pagamento della sanzione deve avvenire entro 30 giorni dalla notifica. È richiamata la possibilità di definizione agevolata mediante pagamento della metà della sanzione entro il termine previsto per l’opposizione.

Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di cui all’art. 78 GDPR, agli artt. 152 del Codice e 10 del d.lgs. 150/2011, con ricorso da depositare entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.