Trenitalia, attacco hacker: esposti alcuni dati dei clienti legati ai biglietti

Trenitalia ha cominciato a contattare via e-mail una parte della propria clientela per segnalare un incidente di sicurezza informatica. La società del Gruppo Ferrovie dello Stato Italiane parla di un accesso non autorizzato riconducibile a "soggetti esterni non identificati", che ha riguardato alcuni dati personali collegati ai titoli di viaggio.

Nella comunicazione l'azienda chiarisce subito il perimetro dell'intrusione. Non risultano coinvolti i dati di accesso agli account, le credenziali personali né le informazioni sui pagamenti, quindi numero della carta, data di scadenza e codice di sicurezza restano al di fuori della violazione. È il punto su cui Trenitalia insiste maggiormente, nel tentativo di circoscrivere l'allarme tra gli utenti.

A essere potenzialmente esposti sono invece i dati legati al biglietto, e non tutti riguardano per forza ogni destinatario. L'azienda parla infatti delle informazioni che possono essere state oggetto di accesso "qualora presenti" sui propri sistemi in relazione al titolo di viaggio.

L'elenco fornito comprende nome, cognome, data e luogo di nascita del passeggero, oltre ai riferimenti dell'eventuale acquirente quando diverso dal viaggiatore. Rientrano nel quadro anche i dati di contatto, vale a dire indirizzo email e numero di telefono.

La lista prosegue con le informazioni associate allo spostamento: tratta, data e orario del viaggio, numero del titolo. Possono aggiungersi il codice della carta fedeltà collegato al biglietto, l'eventuale ente o azienda datore di lavoro, la tipologia di offerta o servizio sottoscritta e i dati per usufruirne. In alcuni casi figurano pure gli estremi del documento d'identità e le informazioni tecniche legate alla generazione del titolo di viaggio.

Attacco hacker a Trenitalia: è ufficiale

La fotografia che ne esce non riguarda quindi un singolo campo isolato, ma un insieme che incrocia identità, recapiti e abitudini di spostamento. È proprio questa combinazione a pesare più dei dati di pagamento, esclusi dalla violazione: nome e documento difficilmente cambiano nel tempo, a differenza di una carta che può essere bloccata e riemessa. Per chi gestisce trasferte di lavoro, poi, il riferimento al datore di lavoro aggiunge un livello di contesto sensibile.

Trenitalia giustifica il ritardo nella notifica con la complessità delle verifiche. Per individuare con precisione gli utenti realmente interessati, spiega l'azienda, è stato necessario ricostruire nel dettaglio gli accessi impropri ai sistemi, un lavoro affidato alle strutture IT interne che ha richiesto tempo prima di poter inviare le comunicazioni ai diretti interessati.

La mossa risponde all'articolo 34 del Regolamento UE 2016/679, il GDPR, che impone di avvisare le persone coinvolte quando una violazione comporta un rischio elevato per i loro diritti. L'azienda richiama anche le linee guida EDPB 9/2022, nella versione aggiornata a marzo 2023, come riferimento per la procedura seguita.

Sul fronte istituzionale la società dichiara di aver notificato l'accaduto al Garante per la protezione dei dati personali e al Csirt Italia, la struttura dell'Agenzia per la cybersicurezza nazionale che coordina la risposta agli incidenti. Trenitalia ha inoltre presentato denuncia alla Procura di Roma, aprendo così anche il fronte giudiziario.

Resta da chiarire l'effettiva ampiezza della violazione, dato che l'azienda non ha comunicato il numero di clienti coinvolti né la finestra temporale dell'attacco. La comunicazione mirata via email, indirizzata solo agli utenti ritenuti interessati, lascia intendere un perimetro circoscritto, ma senza cifre ufficiali ogni stima resta prematura.

Chi riceve la mail farà bene a trattare con diffidenza eventuali messaggi successivi che richiamano la vicenda. La combinazione di nome, contatti e dettagli di viaggio è materiale ideale per tentativi di phishing mirato, anche in assenza di dati bancari o di password: un attaccante che conosce tratta, orario e numero del titolo può confezionare comunicazioni molto credibili, magari spacciandosi per la stessa Trenitalia. Meglio diffidare di link e richieste di credenziali, e verificare sempre i canali ufficiali.