Il Garante privacy punisce WindTre per i data breach del 2025, coinvolti i dati di oltre 365mila clienti

Il Garante per la protezione dei dati personali ha inflitto a Wind Tre una sanzione da 1.715.600 euro per le gravi carenze di sicurezza che hanno permesso agli hacker di violare i sistemi aziendali in due occasioni distinte. L'esfiltrazione ha coinvolto i dati personali di oltre 365mila clienti.

Per una parte di essi, esattamente 41.359 utenti, il danno è più profondo: gli aggressori hanno sottratto anche le informazioni relative ai metodi di pagamento, tra cui il bollettino postale, l'Iban, il numero parzialmente oscurato della carta di credito e la relativa data di scadenza.

L'istruttoria dell'Autorità nasce dai due data breach notificati dalla stessa Wind Tre nel febbraio 2025. Le indagini hanno ricostruito la dinamica dell'attacco: i criminali informatici si sono finti tecnici dell'assistenza e sono riusciti a convincere gli operatori di due punti vendita a concedere l'accesso ai sistemi aziendali. Da lì, il passo verso l'esfiltrazione dei dati anagrafici e di contatto dei clienti è stato breve.

Le falle individuate dal Garante che hanno consentito i data breach

Al centro delle contestazioni ci sono le modalità di gestione delle credenziali di accesso e dei certificati digitali, ritenute inadeguate a contenere un attacco basato essenzialmente su tecniche di ingegneria sociale. Il Garante ha rilevato pure che i controlli di sicurezza condotti internamente da Wind Tre non erano bastati a intercettare vulnerabilità che verifiche più approfondite avrebbero invece individuato.

Sulla base di questi elementi, l'Autorità ha accertato la violazione dei principi di integrità e riservatezza dei dati previsti dal GDPR, oltre agli obblighi generali di sicurezza del trattamento. Wind Tre dovrà ora rafforzare i sistemi di protezione delle credenziali e dei certificati digitali, introdurre strumenti sicuri per la gestione delle password e rivedere le procedure interne di sicurezza informatica, per evitare che episodi simili si ripetano.

Nel calcolare l'importo della sanzione, il Garante ha tenuto conto di alcuni fattori attenuanti: la tempestività con cui Wind Tre ha notificato l'incidente, le misure correttive messe in campo subito dopo l'attacco e la collaborazione fornita dall'operatore telefonico nel corso dell'istruttoria. Circostanze che hanno contenuto l'importo della multa, pur non escludendo la responsabilità della società per le lacune strutturali riscontrate nei propri sistemi.

Il caso conferma un problema ricorrente nel settore delle telecomunicazioni italiane: il punto debole non è quasi mai la tecnologia in sé, come abbiamo detto più e più volte, ma il fattore umano. Bastano pochi operatori convinti a fidarsi di un finto tecnico per aprire una falla capace di esporre le informazioni di centinaia di migliaia di persone, comprese quelle più sensibili legate ai pagamenti.