Ordinanza ingiunzione o revoca n. 230 del 10/04/2025

Yolo Group S.p.a. - violazione dei dati personali tramite vulnerabilità IDOR su API

Il Garante per la protezione dei dati personali ha accertato l'illiceità del trattamento effettuato da Yolo Group S.p.a. in relazione a una violazione dei dati personali notificata il 28 giugno 2024. L'evento ha riguardato l'esposizione, tramite una vulnerabilità IDOR su una API della piattaforma, dei dati anagrafici e di contatto di 38.973 interessati.

Origine del procedimento e attività istruttoria

L'Autorità ha avviato l'istruttoria a seguito della notifica ex art. 33 GDPR e ha richiesto informazioni alla società ai sensi dell'art. 157 del Codice privacy. La società ha descritto l'architettura della piattaforma, le misure di sicurezza esistenti e la dinamica dell'incidente, attribuendo la violazione a una API esposta in modo non corretto e a un errore di configurazione che ha consentito a un soggetto esterno autenticato di effettuare richieste non autorizzate.

Dinamica della violazione

Dagli atti è emerso che l'attaccante ha creato un'utenza tramite la funzione di registrazione, ha ottenuto un token valido e ha sfruttato la vulnerabilità dell'API denominata /api/legacy/users/new_update. La vulnerabilità, di tipo IDOR (Insecure Direct Object Reference), ha permesso di modificare parametri non adeguatamente verificati dal sistema e di ottenere dati appartenenti ad altri utenti.

Dati coinvolti

La società ha indicato che gli interessati coinvolti sono 38.973. Per ciascuno risultavano esposti indirizzo, e-mail e numero di telefono. Il Garante ha valorizzato l'elevato numero di persone coinvolte e il rischio concreto derivante dalla compromissione della riservatezza.

Violazioni accertate e norme richiamate

L'Autorità ha ritenuto che i controlli relativi alle autorizzazioni di utilizzo delle API non fossero stati gestiti correttamente, con conseguente pregiudizio per la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento.

In particolare, ha ritenuto violati:

• l'art. 5, par. 1, lett. f), GDPR, sul principio di integrità e riservatezza;
• l'art. 32 GDPR, in quanto la società non aveva adottato misure tecniche e organizzative adeguate a garantire un livello di sicurezza commisurato al rischio.

Il Garante ha richiamato la necessità di una corretta progettazione delle API, di un approccio multilivello alla sicurezza e di attività periodiche di vulnerability assessment.

Valutazione delle difese della società

Nel corso del procedimento la società ha sostenuto che:

• la vulnerabilità era limitata a una singola API progettata per uso server-to-server;
• i dati coinvolti erano dati personali comuni e facilmente reperibili sul web;
• l'API è stata corretta entro 48 ore;
• sono state controllate tutte le API esistenti e rafforzato il processo di deployment;
• erano già presenti crittografia, MFA, RBAC, audit log, test di vulnerabilità, formazione e procedure interne.

Il Garante ha però rilevato che tali misure non bastavano a escludere la violazione, poiché il problema centrale era la mancata corretta gestione dei controlli autorizzativi sulla API. L'Autorità ha osservato che sarebbe stato possibile adottare un controllo di secondo livello sulle utenze create in piattaforma e utilizzare strumenti automatizzati di test di sicurezza sulle API.

Esito: illiceità del trattamento e sanzione

L'Autorità ha escluso l'archiviazione del procedimento e ha dichiarato illecito il trattamento ai sensi degli artt. 5, par. 1, e 32 GDPR. Ha quindi esercitato il potere correttivo-sanzionatorio ex art. 58, par. 2, lett. i), GDPR, applicando una sanzione amministrativa pecuniaria di 30.000 euro.

Criteri di quantificazione della sanzione

Nella determinazione dell'importo il Garante ha considerato, ai sensi dell'art. 83, par. 2, GDPR:

• la natura, gravità e durata della violazione;
• il fatto che la vulnerabilità riguardasse una singola API, progettata per uso server-to-server ma esposta in modo non corretto;
• l'adozione di ulteriori misure correttive dopo l'evento, tra cui il rafforzamento del processo di verifica delle API e l'integrazione di SonarQube nel deployment;
• il carattere colposo della violazione;
• l'assenza di precedenti violazioni in materia di protezione dei dati personali;
• la cooperazione e la pronta adeguazione della società alle indicazioni ricevute;
• le condizioni economiche del contravventore risultanti dal bilancio 2023.

Dispositivo e adempimenti

Il Garante ha:

• ordinato a Yolo Group S.p.a. il pagamento della sanzione di 30.000 euro;
• ingiunto il pagamento entro 30 giorni dalla notifica, con avvertimento delle conseguenze esecutive ex art. 27 legge n. 689/1981;
• ricordato la facoltà di definire la controversia pagando la metà della sanzione nei termini di legge;
• disposto la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;
• disposto la pubblicazione del provvedimento sul sito dell'Autorità;
• ordinato l'annotazione delle violazioni e delle misure adottate nel registro interno dell'Autorità.

Avverso il provvedimento è ammessa opposizione all'autorità giudiziaria ordinaria nei termini di cui all'art. 78 GDPR, agli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011.