Have I Been Pwned tocca quota 1000 data breach, ma rivela una realtà preoccupante

Il servizio di Troy Hunt ha appena tagliato il traguardo del consulente per la sicurezza web e fondatore di Have I Been Pwned, mettendo a nudo una realtà scomoda: a dodici anni e mezzo dalla nascita della piattaforma, i tempi di notifica delle violazioni informatiche sono peggiorati. Nonostante la massiccia adozione globale di normative sulla privacy di alto profilo, come il GDPR europeo o il CCPA californiano, la gestione degli incidenti di sicurezza si allontana sempre più dalla trasparenza sul campo, preferendo la tutela legale all'informazione tempestiva degli utenti.

I dati analizzati sul campo non lasciano spazio a dubbi. La compagnia di crociere Carnival, finita nel mirino del gruppo cybercriminale ShinyHunters, ha visto la pubblicazione online di 8,7 milioni di record di clienti, inclusi 7,5 milioni di indirizzi e-mail e dati dei programmi fedeltà. Ben l'85% di queste informazioni era già presente nell'archivio di HIBP. La società ha formalizzato la notifica agli utenti colpiti solo dopo ben 43 giorni dall'aver rilevato l'intrusione nei propri sistemi, giustificando il ritardo con la necessità di condurre una complessa analisi interna.

La difesa legale prevale sulla tutela dell'utente. La segnalazione di Troy Hunt

Nel frattempo, i clienti ricevevano smentite ufficiali dai canali di supporto. Uno scenario speculare ha coinvolto il colosso dell'abbigliamento Zara, sempre sotto i colpi di ShinyHunters, che ha impiegato 45 giorni per ammettere la perdita di 197 mila indirizzi e-mail unici, registri di assistenza clienti e dettagli sugli ordini.

Questo comportamento dilatorio risponde a logiche precise e calcolate. La proliferazione incontrollata di azioni legali collettive immediatamente successive a una violazione spinge le imprese ad assumere una postura orientata esclusivamente al contenzioso. L'obiettivo diventa, insomma, la tutela degli azionisti e la minimizzazione del rischio di risarcimenti miliardari, relegando la sicurezza dei clienti in secondo piano. Si tratta di compromessi necessari per le aziende, che sfruttano abilmente le scappatoie offerte dalle stesse normative sulla privacy.

Nel post pubblicato sul suo blog ufficiale, Hunt evidenzia come i regolamenti impongano la notifica obbligatoria solo in presenza di un rischio elevato per i diritti delle persone o di dati sensibili definiti in modo estremamente stringente. Poiché informazioni come e-mail o registri di supporto non rientrano spesso in queste categorie speciali, le aziende scelgono il silenzio legale. In questo modo, i punti di debolezza storici della sicurezza informatica aziendale non vengono corretti, lasciando ai servizi indipendenti di provata concretezza tecnologica l'onere di avvisare gli utenti esposti sul web.