Prescrizioni del Garante n. 327 del 23/05/2024

The European House - Ambrosetti S.p.a. - ordine di comunicazione per violazione di credenziali di autenticazione

Il provvedimento riguarda una violazione dei dati personali notificata dalla Società a seguito di un attacco informatico con esfiltrazione di credenziali di accesso e altri dati personali. L’Autorità, all’esito delle prime valutazioni istruttorie, ha ritenuto che la violazione fosse suscettibile di presentare un rischio elevato per i diritti e le libertà degli interessati e ha ordinato la comunicazione agli utenti coinvolti.

Origine del procedimento e dati interessati

La Società ha trasmesso all’Autorità, l’8 aprile 2024, una notifica preliminare ex art. 33 GDPR relativa a un accesso non autorizzato con esfiltrazione di:

• dati anagrafici e di contatto, compreso l’indirizzo e-mail;
• credenziali di autenticazione, ossia username e password.

La Società ha inizialmente dichiarato di non aver comunicato la violazione agli interessati, ritenendo il rischio non elevato. In corso di istruttoria ha stimato in via preliminare 134.303 gli interessati potenzialmente coinvolti.

Attività istruttoria e chiarimenti forniti dalla Società

L’Ufficio ha richiesto elementi specifici su:

• numero di interessati coinvolti;
• tecniche di protezione delle password e funzioni crittografiche adottate;
• livello di sicurezza garantito da tali funzioni;
• valutazione dei rischi per gli interessati;
• misure tecniche e organizzative adottate per attenuare gli effetti della violazione.

La Società ha rappresentato, tra l’altro, di aver adottato sistemi di hash crittografico e, per alcune applicazioni, di aver progressivamente aggiornato l’architettura di sicurezza; ha inoltre affermato che molte credenziali erano obsolete, riferite a sistemi non più in uso o a utenze inattive, e che i dati esfiltrati fossero per la maggior parte inutilizzabili. Dopo la scoperta dell’evento, ha dichiarato di aver annullato tutte le password esposte e imposto agli utenti attivi la modifica delle credenziali.

Valutazione del Garante sul rischio per gli interessati

Il Garante ha richiamato l’art. 34 GDPR, i considerando 75 e 76 e le Linee guida EDPB 9/2022 sulla notifica delle violazioni dei dati personali. Nel valutare il rischio elevato, ha considerato in particolare:

• la natura dell’attacco, finalizzato all’acquisizione di credenziali di autenticazione;
• la gravità delle possibili conseguenze derivanti dall’uso illecito delle credenziali per accedere a sistemi o servizi online;
• l’elevato numero di interessati coinvolti;
• la facilità di risalire a persone fisiche identificate o identificabili;
• il basso livello di sicurezza delle misure di protezione adottate per alcune password.

L’Autorità ha rilevato che circa 98.000 password erano conservate con funzione di hashing MD5, non sempre accompagnata da salt, e che circa 36.000 password erano addirittura conservate in chiaro. Ha inoltre considerato che le credenziali esfiltrate, in assenza di elementi contrari, dovevano essere trattate prudenzialmente come password eventualmente scelte dagli utenti, con conseguente rischio di riutilizzo su altri servizi.

Violazione dell’obbligo di comunicazione agli interessati

Il Garante ha ritenuto che il messaggio visualizzato agli utenti in occasione della modifica obbligatoria della password non fosse sufficiente a soddisfare gli obblighi di cui all’art. 34, par. 2, GDPR, perché non conteneva le informazioni necessarie a rendere consapevoli gli interessati della natura della violazione e delle misure da adottare.

Ha pertanto concluso che la mancata comunicazione integrasse una violazione dell’art. 34 GDPR.

Ordini impartiti e termini

Ai sensi degli artt. 34, par. 4, e 58, par. 2, lett. e), GDPR, il Garante ha ingiunto alla Società di comunicare senza ritardo e comunque entro dieci giorni dalla ricezione del provvedimento la violazione ai soli utenti le cui password erano conservate in chiaro o con tecniche crittografiche non allo stato dell’arte.

La comunicazione deve descrivere in modo semplice e chiaro:

• la natura della violazione;
• le possibili conseguenze;
• le misure che gli interessati possono adottare, tra cui la non utilizzazione della password compromessa o di password simili e la modifica di eventuali password coincidenti o analoghe usate su altri servizi.

Il Garante ha inoltre ordinato, ai sensi degli artt. 58, par. 1, lett. a), GDPR e 157 Codice privacy, di fornire entro quindici giorni un riscontro documentato sulle iniziative intraprese per dare esecuzione alla comunicazione.

Richiami sanzionatori e ulteriori effetti

Il provvedimento ricorda che l’inosservanza di un ordine impartito ai sensi dell’art. 58, par. 2, GDPR è soggetta alle sanzioni amministrative pecuniarie previste dall’art. 83, par. 6, GDPR. Viene inoltre disposta l’annotazione del provvedimento nel registro interno dell’Autorità.

Il Garante precisa infine che avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e delle norme processuali richiamate.