Ordinanza ingiunzione o revoca n. 529 del 14/07/2026

Sanzione a Nier Ingegneria S.p.A. SB per carenze di sicurezza alla base di un attacco ransomware

Il provvedimento del 14 luglio 2026 riguarda l’ordinanza ingiunzione adottata nei confronti di Nier Ingegneria S.p.A. Società Benefit, titolare del trattamento per alcuni dati propri e responsabile del trattamento per numerosi clienti. Il procedimento trae origine dalla violazione di dati personali notificata l’11 ottobre 2024 ai sensi dell’art. 33 GDPR, conseguente a un attacco ransomware attribuito al gruppo BlackBasta.

Fatto e procedimento

L’attacco è stato rilevato il 9 ottobre 2024, quando la Società ha riscontrato anomalie nei sistemi, la cifratura di file e sistemi aziendali e la presenza di messaggi di rivendicazione e richiesta di riscatto. L’infrastruttura della sede principale di Bologna, costituita da host e sistemi di storage, è stata compromessa; il ransomware si è inoltre propagato ai sistemi di backup.

Il primo storage è stato riportato alle condizioni di fabbrica dall’attaccante, con perdita dei dati e delle configurazioni presenti. Il secondo storage conservava backup leggibili risalenti ad agosto 2024, che hanno consentito il recupero parziale dell’infrastruttura. La Società ha dichiarato di non essere riuscita a recuperare i dati mediante strumenti di decriptazione e di aver successivamente recuperato i dati pubblicati sul dark web per ripristinare gli archivi.

Il 4 dicembre 2024 la Società ha rilevato l’annuncio della pubblicazione dei dati esfiltrati, che è avvenuta l’11 dicembre 2024. Il Garante ha avviato l’istruttoria mediante richieste di informazioni ai sensi dell’art. 157 del Codice, alle quali la Società ha risposto il 16 maggio, il 13 giugno e il 6 settembre 2025. Il 27 gennaio 2026 è stato notificato l’avvio del procedimento sanzionatorio e correttivo ai sensi degli artt. 58, par. 2, e 83 GDPR e dell’art. 166, comma 5, del Codice. La Società ha presentato memoria difensiva il 27 febbraio 2026.

Ruoli della Società e trattamenti coinvolti

Nier Ingegneria opera sia come titolare sia come responsabile del trattamento. In qualità di titolare, svolge trattamenti connessi alla gestione delle risorse umane, alla selezione del personale, ai rapporti con clienti e fornitori e al controllo di gestione. In qualità di responsabile, tratta dati per conto di oltre 1.200 titolari, nell’ambito di corsi di formazione, incarichi di RSPP e servizi di consulenza di ingegneria del software.

La Società ha informato senza ritardo i titolari per i quali operava come responsabile, in conformità all’art. 33, par. 2, GDPR. Alcuni titolari hanno a loro volta notificato la violazione al Garante, sebbene non tutti quelli coinvolti abbiano presentato una notifica autonoma.

Dati e interessati coinvolti

La violazione ha riguardato dati di dipendenti della Società e dati relativi a dipendenti di clienti, presenti negli attestati dei corsi di formazione. Le categorie indicate comprendevano:

• dati anagrafici e identificativi;
• dati di contatto;
• credenziali di autenticazione riferite a un soggetto;
• dati di pagamento passivi, quali numeri di conto corrente utilizzati per ricevere pagamenti;
• informazioni relative a condanne penali;
• documenti di identità e riconoscimento;
• dati rivelanti l’appartenenza sindacale;
• dati relativi alla salute, inclusi certificati medici per maternità e infortuni sul lavoro.

La quantificazione precisa degli interessati non è stata possibile perché una parte dei dati cifrati non era recuperabile. Per i dati esfiltrati e pubblicati, riferibili in particolare agli attestati di formazione, la Società ha stimato più di 500 interessati, sulla base di 341 attestati singoli e 184 attestati cumulativi. Il Garante ha considerato rilevante anche la perdita di riservatezza derivante dalla pubblicazione dei dati sul dark web.

Ricostruzione dell’attacco

Secondo la ricostruzione della Società, l’attaccante avrebbe utilizzato credenziali sottratte e reperite nel dark web per accedere da remoto tramite VPN. Sono state individuate credenziali compromesse in tre database di dati sottratti. Il Garante ha qualificato lo scenario come riconducibile a un attacco di credential stuffing, basato sul riutilizzo di coppie username/password già compromesse.

Dopo l’accesso alla rete, l’attaccante avrebbe creato sul domain controller di Milano un account amministrativo denominato “ADMINTEST”, risultato inesistente in precedenza. L’account sarebbe stato utilizzato per connettersi al domain controller di Bologna, effettuare movimenti laterali e propagare il ransomware. Le analisi non hanno consentito di stabilire con certezza la tecnica utilizzata per compromettere il domain controller; tra le ipotesi considerate figuravano l’accesso tramite VPN seguito da connessione RDP oppure l’utilizzo di comandi WMI.

L’attaccante avrebbe inoltre tentato di compromettere i sistemi di backup. La segmentazione in VLAN proteggeva parzialmente alcuni apparati, ma i domain controller avevano accesso esteso alle VLAN e la segregazione non è risultata sufficiente a impedire i movimenti laterali verso la rete di backup.

Violazioni contestate e norme applicabili

L’art. 5, par. 1, lett. f), GDPR impone che i dati siano trattati in modo da garantire un’adeguata sicurezza, inclusa la protezione da trattamenti non autorizzati o illeciti e dalla perdita, distruzione o danno accidentali.

L’art. 32, par. 1, lett. b), GDPR richiede l’adozione di misure tecniche e organizzative adeguate al rischio, comprese quelle necessarie ad assicurare in modo permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento.

Il Garante ha ritenuto che Nier Ingegneria non avesse rispettato tali obblighi per le seguenti ragioni:

• mancata estensione dell’autenticazione multifattore alla VPN aziendale e agli altri sistemi critici;
• assenza di misure sufficientemente efficaci contro il riutilizzo di credenziali, il credential stuffing, il brute force e il reverse brute force;
• presenza di un meccanismo di blocco limitato a una sospensione temporanea dopo dieci tentativi falliti, senza reset obbligatorio e verifica da parte della struttura IT;
• assenza, al momento dell’incidente, di un processo formalizzato e strutturato di gestione delle vulnerabilità;
• strategia di backup non adeguatamente protetta da un attacco ransomware;
• segmentazione di rete non sufficiente a isolare i sistemi di backup dai movimenti laterali;
• mancata adozione di misure capaci di assicurare adeguatamente la disponibilità e la resilienza dei dati.

Valutazioni del Garante sulle misure di autenticazione

Il Garante ha osservato che l’accesso compromesso alla VPN consente a un attaccante di entrare nella rete interna con i privilegi di un utente legittimo, mappare la rete, effettuare movimenti laterali, esfiltrare dati e distribuire malware.

La MFA era attiva soltanto per alcune utenze Microsoft 365 considerate critiche, mentre non era applicata sistematicamente alle utenze aziendali né alla VPN, al firewall e agli apparati di rete. Le campagne di formazione, le regole sulle password e il temporaneo account lockout sono state ritenuti insufficienti, da soli, a garantire un livello di sicurezza adeguato al rischio.

Secondo il Garante, per risorse critiche come la VPN devono essere valutate misure aggiuntive, tra cui:

• autenticazione a più fattori o, ove possibile, soluzioni passwordless;
• blocco effettivo dell’account dopo tentativi falliti, con reset delle credenziali e verifica tramite la struttura IT;
• alert alle funzioni di sicurezza;
• controllo delle credenziali rispetto a repository di credenziali compromesse;
• eventuale blocklisting e attività di cyber threat intelligence.

Valutazioni sul ransomware e sui backup

La compromissione del domain controller ha consentito la creazione di un account amministrativo e la propagazione del malware verso altri sistemi. Il Garante ha evidenziato che l’assenza di un processo strutturato di gestione delle vulnerabilità aveva inciso sulla capacità preventiva dell’organizzazione, anche se non è stato possibile determinare con certezza il vettore tecnico utilizzato per compromettere il domain controller.

Quanto ai backup, il Garante ha ritenuto insufficiente una strategia basata su copie online esposte a movimenti laterali e a errate configurazioni di rete. Ha richiamato l’utilità di una strategia 3-2-1, con almeno tre copie su due supporti diversi, di cui una offsite, accompagnata da:

• copie offline o comunque non direttamente connesse alla rete;
• snapshot immutabili o WORM;
• severi controlli di accesso agli account di backup;
• segmentazione della rete di backup;
• cifratura delle copie;
• adeguate misure di disaster recovery e business continuity.

Esito dell’istruttoria e responsabilità

Il Garante ha concluso che la catena d’attacco non poteva essere considerata imprevedibile o inevitabile. L’adozione di misure ormai di uso comune, quali la MFA per l’accesso alla VPN e controlli robusti contro il credential stuffing e gli attacchi alle credenziali, avrebbe verosimilmente impedito o interrotto la catena d’attacco.

È stata quindi accertata l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. f), e 32 GDPR. La Società è stata considerata responsabile, quale titolare, della mancata verifica dell’effettiva conformità dei trattamenti ai principi di integrità e riservatezza e agli obblighi di sicurezza, tenuto conto della natura, del contesto, delle finalità e dei rischi dei trattamenti.

Misure correttive successive

Il Garante ha valutato positivamente le misure adottate dopo l’incidente, pur precisando che tali interventi non modificano la valutazione sull’inadeguatezza delle difese esistenti al momento dell’attacco. Tra gli interventi indicati figurano:

• estensione della MFA alla VPN e agli altri servizi autenticati;
• attivazione di SOC, EDR, SIEM, SOAR, MDR e servizi di cyber threat intelligence;
• monitoraggio degli endpoint e dell’ambiente Microsoft 365;
• ricerca dei dati esfiltrati su clear web, deep web e dark web;
• rafforzamento e cifratura dei backup, protezione dei repository e incremento della ridondanza;
• implementazione del disaster recovery con replica geografica;
• vulnerability assessment e penetration test;
• ricostruzione e rafforzamento dell’infrastruttura IT e della segregazione dei dati;
• migrazione verso un ambiente cloud con ridondanza su più data center e copie immutabili;
• campagne periodiche di awareness e phishing simulato;
• ottenimento della certificazione ISO 27001 il 16 dicembre 2025.

Considerate tali iniziative e l’assenza di reclami presentati dagli interessati ai sensi dell’art. 77 GDPR, il Garante ha ritenuto di non dover adottare ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sanzione e criteri di quantificazione

La sanzione è stata irrogata ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR e dell’art. 166 del Codice. Il Garante ha applicato l’art. 83, par. 3, GDPR, secondo cui, in caso di violazione di più disposizioni nell’ambito dello stesso trattamento o di trattamenti collegati, l’importo complessivo non può superare il massimo previsto per la violazione più grave.

Ai fini dell’art. 83, par. 2, GDPR, sono stati considerati:

• la natura e la gravità della perdita di riservatezza e la violazione di principi generali di sicurezza;
• il numero rilevante di interessati, superiore a 500 per la componente quantificabile;
• la presenza di dati comuni e di dati particolari;
• il comportamento negligente della Società;
• le comunicazioni tempestive agli interessati dal 9 ottobre 2024;
• le comunicazioni ai titolari effettuate in qualità di responsabile ai sensi dell’art. 33, par. 2, GDPR;
• l’assenza di precedenti violazioni o precedenti provvedimenti sullo stesso oggetto;
• la cooperazione prestata durante l’istruttoria;
• le misure di sicurezza adottate successivamente all’incidente;
• le condizioni economiche della Società, determinate sulla base del volume d’affari risultante dal bilancio 2025.

L’importo è stato fissato in 120.000 euro, ritenuto effettivo, proporzionato e dissuasivo ai sensi dell’art. 83, par. 1, GDPR.

Dispositivo, pagamento e impugnazione

La Società è stata ingiunta a pagare 120.000 euro entro 30 giorni dalla notifica del provvedimento, con applicazione degli atti esecutivi previsti dall’art. 27 della legge n. 689/1981 in caso di mancato pagamento. Ai sensi dell’art. 166, comma 8, del Codice, è prevista la possibilità di definire la controversia mediante il pagamento della metà della sanzione entro il termine previsto per la proposizione del ricorso.

Il Garante ha inoltre disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito dell’Autorità ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del regolamento del Garante n. 1/2019;
• la pubblicazione del provvedimento ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento n. 1/2019;
• l’annotazione della violazione e delle misure adottate nel registro interno dell’Autorità ai sensi dell’art. 17 del regolamento n. 1/2019.

Il provvedimento può essere impugnato ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011 mediante ricorso al tribunale ordinario competente entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.