Meta multata per 91 milioni di euro in Europa: le password degli utenti salvate in modo leggibile

La Data Protection Commission (DPC) irlandese ha multato Meta Platforms Ireland Limited (MPIL) per 91 milioni di euro, comminandole anche una reprimenda.

La vicenda affonda le radici nell'aprile 2019, dopo che Meta notificò al DPC di aver inavvertitamente salvato centinaia di milioni di password degli utenti di Facebook e Instagram in "plain text" nei suoi sistemi interni. Con quel termine si indica che le password non erano state cifrate in alcun modo, quindi erano leggibili, "in chiaro" appunto.

La DPC ha rilevato l'infrazione di diversi punti del GDPR:

• Meta non ha notificato al DPC una violazione dei dati personali relativa alla memorizzazione di password utente in chiaro;
• Meta non ha documentato le violazioni dei dati personali riguardanti la memorizzazione delle password degli utenti in chiaro;
• Meta non ha utilizzato misure tecniche o organizzative adeguate per garantire un'appropriata sicurezza delle password degli utenti contro il trattamento non autorizzato;
• Meta non ha implementato misure tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato al rischio, compresa la capacità di assicurare la costante riservatezza delle password degli utenti.

Graham Doyle, vicecommissario del DPC, ha commentato: "È ampiamente accettato che le password degli utenti non debbano essere memorizzate in chiaro, considerando i rischi di abuso che derivano dall'accesso a tali dati. Va tenuto presente che le password oggetto di esame in questo caso sono particolarmente sensibili, in quanto consentirebbero l'accesso agli account dei social media degli utenti".

Nel marzo 2019 Meta pubblicò un articolo relativo al "misfatto", assicurando che le password non era "mai state visibili a nessuno al di fuori di Facebook (e Instagram, ndr) e finora non abbiamo trovato alcuna prova che qualcuno internamente ne abbia abusato o vi abbia acceduto in modo improprio". Alla stessa conclusione è arrivata la DPC, che "a tempo debito" pubblicherà la decisione completa e ulteriori informazioni correlate.