Prescrizioni del Garante n. 338 del 20/10/2022

Prescrizione a Davide Campari Milano NV per la rimozione di copie residue di dati personali esfiltrati in un attacco ransomware

Il Garante esamina una violazione di dati personali comunicata dal gruppo Davide Campari Milano-NV, colpito da un attacco ransomware che ha comportato esfiltrazione di dati e temporanea indisponibilità dei sistemi. Il provvedimento conclude senza sanzioni, ma impone al titolare una specifica prescrizione per la rimozione di residui dati ancora accessibili online.

Origine del procedimento e quadro di competenza

Il procedimento nasce dalla notifica preliminare di violazione dei dati personali, e dalle successive integrazioni, trasmessa ai sensi dell’art. 33 GDPR. Il Garante afferma la propria competenza poiché il gruppo, pur avendo sede legale nei Paesi Bassi, ha il principale stabilimento in Italia.

La vicenda è stata trattata anche nel quadro della cooperazione tra autorità di controllo prevista dagli artt. 56 e 60 GDPR. Nel testo si dà conto della procedura IMI avviata dalla Spagna per l’individuazione dell’autorità capofila e delle autorità interessate, della dichiarazione dell’Italia quale autorità capofila e della consultazione informale con le altre autorità europee.

Caratteristiche dell’attacco e tipologia di dati coinvolti

Dalle analisi di sicurezza emerge che l’evento è stato organizzato e condotto da un gruppo criminale ben strutturato e capace di eludere le misure di sicurezza predisposte. L’accesso alla rete è avvenuto mediante credenziali legittime per connessione VPN sottratte a un consulente di una società esterna. L’intrusione non rilevata ha poi permesso di individuare e sfruttare una vulnerabilità non sanata di un server con funzione di controller di dominio, fino a ottenere privilegi amministrativi sull’intera rete informatica.

Le analisi hanno rilevato che sul server violato non erano state applicate alcune patch di sicurezza. Il Garante precisa però che tale omissione non deriva da un’inadeguatezza complessiva delle misure tecnico-organizzative, poiché gli altri server analoghi risultavano aggiornati e la mancata applicazione è stata ricondotta a un errore umano.

La violazione ha riguardato sia la disponibilità sia la riservatezza dei dati. Sono stati estratti circa 260 GB di dati, mentre sistemi e dati sono stati sottoposti a cifratura malevola a fini estorsivi.

Le categorie di interessati coinvolti erano ampie: dipendenti, ex dipendenti, familiari, clienti, azionisti, fornitori e partner commerciali, compresi giornalisti. I dati personali compromessi comprendevano nome, cognome e dati di contatto; per dipendenti ed ex dipendenti anche documenti di identità, iscrizione a sindacati e dati relativi alla salute, oltre ad altri dati trattati nel contesto del rapporto di lavoro.

Dimensione dell’impatto e recupero dei dati

Il titolare ha stimato in via prudenziale circa 10.000 persone potenzialmente interessate, precisando tuttavia che non era possibile determinare con certezza quali e quanti dati fossero stati colpiti dalla sola esfiltrazione, dalla sola cifratura o da entrambe le modalità di attacco.

Per quanto riguarda la perdita di disponibilità, DCM ha dichiarato che quasi tutti i dati personali coinvolti sono stati recuperati e ripristinati; soltanto in un numero residuale di casi i dati non sono stati recuperati, e comunque limitatamente alle 24 ore precedenti all’incidente.

Sul piano della riservatezza, il gruppo criminale aveva pubblicato sulla propria homepage alcune informazioni di contatto estratte dall’Active Directory e screenshot di file sottratti, tra cui documenti di identità, documentazione finanziaria e alcuni contratti. Erano stati anche resi disponibili alcuni link a file nel dark web, ma non è stato possibile scaricarli e analizzarli. Il Garante osserva che parte del materiale pubblicato riguardava un server negli Stati Uniti e, per quanto attinente alla subsidiary americana, coinvolgeva dati di cittadini europei in misura limitata.

Comunicazione agli interessati e notifiche alle autorità

Il Garante ritiene che la società abbia adempiuto correttamente agli obblighi di notifica e comunicazione previsti dagli artt. 33 e 34 GDPR. La comunicazione agli interessati è stata effettuata con più canali: comunicato stampa inviato via email il 6 e 10 novembre 2020 a ciascun dipendente del gruppo e comunicati pubblici disponibili nel portale del sito e in una sezione dedicata per fornitori, azionisti, ex dipendenti e clienti.

DCM ha inoltre dichiarato di aver notificato la violazione alle autorità competenti dei diversi Stati membri coinvolti e di aver redatto le comunicazioni agli interessati nelle rispettive lingue.

Valutazioni del Garante sulla gestione del data breach

All’esito dell’istruttoria, il Garante considera che il titolare abbia agito in modo responsabile ed efficace. In particolare, riconosce che:

• la violazione è stata tempestivamente arginata mediante disattivazione e isolamento dei sistemi coinvolti;
• sono state avviate le necessarie analisi di sicurezza e le operazioni di recupero;
• sono state adottate ulteriori misure di irrobustimento dei sistemi e delle policy di sicurezza;
• sono stati svolti assessment di sicurezza da parte di società terze specializzate;
• è stata condotta un’attività di ricerca sulla possibile diffusione in Internet dei dati esfiltrati.

Alla luce di tali elementi, l’Autorità esclude profili di illiceità sia nella gestione della violazione sia sotto il profilo della sicurezza informatica, richiamando gli artt. 5, par. 1, lett. f), e 32 GDPR, oltre agli artt. 33 e 34.

Residua reperibilità online dei dati e prescrizione

Pur escludendo sanzioni, il Garante rileva che alcuni dati personali sono ancora visibili in Internet, in particolare attraverso il servizio Internet Archive, che conserva copie della pagina web originariamente utilizzata dal gruppo criminale per pubblicare parte dei dati trafugati.

Per tale ragione prescrive al titolare di:

• intraprendere ogni possibile iniziativa volta ad assicurare che le copie residue dei dati personali illecitamente estratte e tuttora accessibili in Internet siano rimosse dalla pubblica disponibilità;
• dare riscontro al Garante delle attività svolte entro 30 giorni dalla ricezione del provvedimento.

Esito finale del procedimento

Per tutti gli altri aspetti, il Garante dichiara di chiudere la procedura IMI senza conseguenze per il titolare, ritenendo che gli interessati siano stati tempestivamente informati, che l’attacco sia stato arginato e che non possa essere attribuita alcuna negligenza al titolare.

Il provvedimento è quindi sostanzialmente favorevole a DCM, con l’unica prescrizione mirata alla bonifica residua della disponibilità online di alcuni dati trafugati.