Infocert dichiara: numeri di telefono e indirizzi email compromessi
La società Infocert ha reso noto sul proprio sito di aver subito un attacco hacker. Secondo le prime informazioni disponibili, pare abbia compromesso i dati personali di circa 5,5 milioni di propri clienti, si tratterebbe di circa 1,1 milioni di numeri di telefono e 2,5 milioni di indirizzi email.
Attacco hacker a Infocert, il Garante Privacy chiede informazioni sul data breach
Dati SPID in vendita sul Dark Web, interviene il Garante Privacy
L’attacco hacker è stato condotto il 27 dicembre 2024 nei confronti di un Responsabile del trattamento (soggetto che tratta dati per conto del titolare). Alcuni giorni dopo tali dati sono stati messi in vendita sul dark web. La società che gestisce circa 1.8 milioni di Spid ha inoltre reso noto che “nessuna credenziale di accesso ai servizi Infocert e password è stata compromessa”. Il 7 gennaio il Garante privacy ha chiesto informazioni alla società.
Data breach InfoCert: il Garante privacy ha chiesto informazioni alla società
Infocert e il danno di reputazione dopo l’attacco hacker
Lungi da noi esprimere un qualsiasi giudizio sull’accaduto ci preme però evidenziare alcuni aspetti di carattere generale sulla vicenda. Per Infocert si tratta di un enorme danno reputazione, la società infatti fa parte di Gruppo Tinexta, gruppo specializzato in digitalizzazione e sicurezza informatica.
Vorrei soffermarmi in particolare sull’importanza delle verifiche che il Titolare deve effettuare quando affida una parte delle sue attività ad un Responsabile del trattamento.
Come sappiamo è il Titolare che sceglie i Responsabili e per tale motivo ne risponde dell’operato, nella sua scelta il Titolare deve selezionare un soggetto che offra le necessarie garanzie. La verifica non ha carattere puramente formale, Titolare deve verificare se effettivamente il Responsabile esterno offre garanzie adeguate sul rispetto delle normative dettare dal GDPR. Tali garanzie non devono sussistere solo nel momento della scelta del Responsabile esterno ma devono sussistere anche durante tutta la durata del rapporto che deve essere formalizzato con un accordo scritto (contratto).
Per tali verifiche il Titolare può con l’assistenza del proprio DPO (se nominato), meglio deve preliminarmente effettuare un apposito audit, che in genere si concretizza con l’invio al Responsabile esterno di un apposito questionario, con il quale il Titolare verifica la compliance al GDPR del Responsabile.
L’attività di audit è bene che venga effettuata con cadenza annuale al fine di verificare la sussistenza dei requisiti nel tempo.
Leggi la comunicazione che la società ha pubblicato sul proprio sito
Altri articoli che potrebbero interessarti:
Marketing e GDPR: come scegliere i responsabili esterni?
Audit dei responsabili esterni del trattamento: ecco come si svolgono
Condividi