Ordinanza ingiunzione o revoca n. 348 del 14/05/2026

Wind Tre S.p.A. - data breach da accessi abusivi alla web application XX e carenze di sicurezza

Il Garante per la protezione dei dati personali ha concluso un procedimento avviato a seguito di due notifiche di violazione dei dati personali presentate da Wind Tre S.p.A. in relazione ad accessi abusivi al sistema tramite tecniche di social engineering. L’Autorità ha accertato violazioni in materia di sicurezza del trattamento e ha irrogato una sanzione amministrativa pecuniaria, imponendo anche specifiche misure correttive.

Origine del procedimento e svolgimento dell’istruttoria

Con atto del 6 ottobre 2025 il Garante ha notificato a Wind Tre l’avvio del procedimento per l’adozione di provvedimenti correttivi e sanzionatori ai sensi dell’art. 166, comma 5, del Codice privacy, a seguito dell’esame di due notifiche di data breach rese dalla società ai sensi dell’art. 33 GDPR, rispettivamente il 20 febbraio 2025 e il 28 febbraio 2025.

Le violazioni riguardavano due eventi analoghi verificatisi in due distinti punti vendita a pochi giorni di distanza. Gli attaccanti, dopo aver contattato telefonicamente un addetto del punto vendita e ottenuto l’accesso remoto al dispositivo per asserite esigenze di assistenza tecnica, sono riusciti ad acquisire tutti i fattori di autenticazione e ad accedere alla web application XX.

Dinamica degli attacchi e dati coinvolti

Nel primo evento sono state effettuate 66 interrogazioni puntuali della customer base, con coinvolgimento di circa 23 clienti. Nel secondo evento, invece, gli attaccanti hanno eseguito circa 2 milioni di richieste totali seguendo una logica di enumeration, incrementando progressivamente l’identificativo del cliente, e hanno violato i dati personali di 365.048 clienti.

I dati esposti comprendevano informazioni anagrafiche e di contatto. Per un sottoinsieme di 41.359 interessati risultavano coinvolti anche dati relativi al metodo di pagamento registrato sui sistemi Wind Tre, cioè bollettino postale, IBAN e carta di credito asteriscata; per le carte erano disponibili solo il PAN parzialmente oscurato e la data di scadenza.

Comunicazione del data breach e misure iniziali

In sede di notifica, la società ha illustrato le misure di sicurezza già presenti e gli interventi immediati adottati. Tra questi, il blocco delle credenziali e la revoca del certificato digitale dei dispositivi dei punti vendita coinvolti, oltre all’invio di avvisi di sicurezza ai rivenditori per ribadire le raccomandazioni in merito ai rischi di atti illeciti e phishing.

Quanto all’informazione agli interessati, inizialmente Wind Tre ha ricorso a una notifica tramite pubblici proclami, pubblicando un avviso su due testate giornalistiche nazionali e sul sito aziendale, e rendendo disponibile un numero verde. Successivamente, a seguito delle interlocuzioni con il Garante, le comunicazioni sono state integrate con SMS alle utenze oggetto di accesso.

Contestazioni dell’Autorità

L’Ufficio ha rilevato anzitutto una significativa carenza nella gestione dei certificati digitali. Il provvedimento sottolinea che certificati e chiavi private avrebbero dovuto essere custoditi tramite soluzioni sicure, come cartelle cifrate, repository cifrati, sistemi dedicati di gestione delle chiavi, key management system o hardware security module, per prevenire esportazione, accesso o utilizzo non autorizzato del materiale crittografico.

In secondo luogo, è stata contestata la mancata adozione di adeguate best practice nella progettazione e gestione delle API, con riferimento alla necessità di un approccio multilivello, alla conduzione di vulnerability assessment periodici e all’adozione di controlli quali rate limiting e CAPTCHA sulle API sensibili.

Tali carenze sono state ritenute in contrasto con:

• art. 5, par. 1, lett. f), GDPR, sotto il profilo dell’integrità e riservatezza;
• art. 32, par. 1, lett. b), GDPR, per l’insufficienza delle misure tecniche e organizzative a garantire un livello di sicurezza adeguato al rischio.

Difese di Wind Tre e misure correttive adottate

Nella memoria difensiva del 5 novembre 2025 Wind Tre ha rappresentato di avere già adottato diverse misure prima degli eventi, tra cui:

• autenticazione a tre fattori;
• gestione del ciclo di vita delle credenziali;
• tracciamento delle attività degli operatori;
• protezione anti-bot tramite CAPTCHA;
• firewall;
• blocco dell’accesso notturno;
• monitoraggio settimanale delle consultazioni della customer base;
• istruzioni di sicurezza nei manuali per l’installazione dei certificati.

Dopo gli eventi, la società ha riferito di avere ulteriormente rafforzato la sicurezza con:

• abbassamento delle soglie CAPTCHA;
• rate limiting sulle API a rischio;
• blocco degli automation user agent tramite web application firewall;
• nuovi allarmi nella dashboard di monitoraggio;
• reset massivo delle password;
• ulteriore fattore di autenticazione per l’accesso al sistema XX;
• mistery call su un campione di punti vendita;
• transizione dell’assistenza tecnica da telefonica a chat integrata;
• azioni disciplinari sui punti vendita coinvolti;
• formazione specifica privacy e cybersecurity.

Nel corso dell’audizione del 5 dicembre 2025 la società ha aggiunto che stava testando la crittografia delle chiamate API su una API pilota e che l’attacco aveva potuto sfruttare credenziali presumibilmente conservate in chiaro sul desktop o nel browser. Con nota dell’11 dicembre 2025 ha inoltre riferito di non aver rilevato, nelle fonti consultate, precedenti significativi di attacco a API secondarie utili come benchmark.

Valutazioni giuridiche del Garante

Il Garante ha riconosciuto che alcune delle misure dichiarate da Wind Tre erano apprezzabili, ma ha ritenuto che le criticità non fossero superabili alla luce degli elementi acquisiti. In particolare, ha affermato che la corretta gestione dei certificati digitali e delle credenziali di autenticazione costituisce misura organizzativa essenziale ex art. 32 GDPR e che il titolare avrebbe dovuto assicurare la conservazione sicura delle credenziali, anche rispetto al rischio di social engineering.

L’Autorità ha osservato che il certificato digitale avrebbe dovuto essere correttamente importato nello store dei certificati del sistema operativo oppure gestito tramite smart card o token USB, idonei a generare e conservare internamente la chiave privata. Ha inoltre ritenuto non condivisibile l’argomento dell’impossibilità di imporre password manager ai punti vendita o ai collaboratori esterni, poiché spetta al titolare definire le misure di sicurezza e impartire le relative istruzioni.

Il Garante ha poi evidenziato che le attività di vulnerability assessment e penetration test non avevano incluso in modo adeguato le API esposte e i relativi flussi applicativi, impedendo di individuare per tempo le vulnerabilità effettivamente sfruttate. Ha comunque valorizzato l’avvio, da parte della società, di un processo di rafforzamento delle API, compresa l’introduzione di rate limiting più efficace, la crittografia dei parametri di input e output e l’abbassamento delle soglie CAPTCHA.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto a Wind Tre di:

• assicurare che i certificati digitali siano custoditi mediante soluzioni sicure, come repository cifrati o sistemi dedicati di gestione delle chiavi, con adeguati controlli degli accessi e prevenzione dell’esportazione non autorizzata;
• implementare sistemi di gestione delle credenziali, come password manager, per i punti vendita, così da garantire conservazione sicura, complessità e rotazione periodica delle password;
• prevedere procedure più accurate di gestione del ciclo di vita dei certificati e delle credenziali, dalla emissione alla revoca e al rinnovo, mediante processi formalizzati e l’uso di key management system o hardware security module.

Le misure devono essere attuate in coerenza con le best practices di sicurezza e adeguatamente documentate. Il titolare deve inoltre comunicare all’Autorità, entro 30 giorni dalla notifica del provvedimento, le iniziative intraprese per dare attuazione alle misure imposte, ai sensi dell’art. 157 del Codice.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Il Garante ha ritenuto sussistenti i presupposti per applicare una sanzione amministrativa pecuniaria, richiamando l’art. 83, par. 3 e par. 5, GDPR. Sulla base dell’ultimo bilancio disponibile al 31 dicembre 2024, ha indicato un massimo edittale di 171.560.000 euro.

Nella quantificazione sono state considerate come circostanze aggravanti:

• l’elevato numero di interessati coinvolti e i rischi derivanti dall’uso malevolo dei dati;
• il livello di diligenza professionale non adeguato al rischio;
• le criticità nella gestione dei certificati digitali e delle chiavi private;
• l’assenza di strumenti sicuri per la gestione delle credenziali dei punti vendita;
• l’inadeguatezza dei controlli di sicurezza su alcune API rispetto agli standard di settore.

Sono state invece considerate attenuanti:

• le misure tempestivamente adottate dopo gli eventi;
• l’ampia attività di comunicazione agli interessati;
• l’assenza di precedenti pertinenti;
• la cooperazione con l’Autorità;
• la tempestività della notifica da parte della società.

All’esito del bilanciamento, la sanzione è stata determinata in euro 1.715.600, pari allo 0,04% del fatturato e all’1% del massimo edittale.

Ulteriori disposizioni

Il provvedimento dispone la pubblicazione integrale sul sito del Garante, ai sensi degli artt. 154-bis e 166, comma 7, del Codice e dell’art. 37 del regolamento interno n. 1/2019. È inoltre ordinata l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate.

È infine richiamata la facoltà di opposizione all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR e degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero.