Cosa possiamo imparare dal data breach della SIAE?

Ogni qualvolta si sente parlare di data breach dovremmo fermarci e  approfondire l’argomento perché dalle vicende negative altrui si  possono trarre preziosi insegnamenti.

Gli attacchi informatici aumentano, ormai, in maniera esponenziale, ma  i problemi che si devono affrontare rimangono gli stessi.

Si passa dalla mancanza di adeguate misure di prevenzione alla  gestione non corretta dell’evento, dalle informazioni non veritiere  riferite agli interessati ai tentativi di imputare la colpa a soggetti  determinati.

L’ultimo data breach salito agli onori della cronaca è quello occorso  alla SIAE.

La cronistoria dell’attacco informatico inizia il 20 ottobre con la  violazione delle infrastrutture IT della SIAE ad opera della  organizzazione di cybercriminali denominata Everest.

I dati sono stati  esfiltrati, è stato richiesto un riscatto in bitcoin e i dati sono  stati messi in vendita nel dark web.

Si aggiunga inoltre che alcuni artisti iscritti alla SIAE sono stati  contattati direttamente dai cybercriminali per il pagamento di un  riscatto per la cancellazione dei dati personali in loro possesso.

I dati personali esfiltrati
Ecco il punto cruciale di ogni data breach: i dati personali, la  gestione, l’esatta valenza che attribuiamo agli stessi.

Il GDPR, da questo punto di vista, è chiaro, l’art. 33 espressamente  impone che “In caso di violazione dei dati personali, il titolare del  trattamento notifica la violazione all’autorità di controllo  competente a norma dell’articolo 55 senza ingiustificato ritardo e,  ove possibile, entro 72 ore dal momento in cui ne è venuto a  conoscenza, a meno che sia improbabile che la violazione dei dati  personali presenti un rischio per i diritti e le libertà delle persone  fisiche”.

La SIAE, correttamente, notifica l’esfiltrazione al Garante per la  protezione dei dati personali, che secondo la procedura apre  un’istruttoria, ma poi il presidente in un’intervista al TG1 afferma  testualmente che “per fortuna non sembrerebbero esserci dati  economici, cioè relativi a iban bancari, iban e cose di questo genere,  solo dati anagrafici relativi a carte d’identità, codici fiscali e  dati di molti nostri dipendenti…”
Emerge in tutta la sua dimensione la mancanza di consapevolezza che  ancora oggi abbiamo con riferimento ai dati personali.

I dati anagrafici vengono considerati meno importanti dei dati bancari  molto probabilmente perché non si percepisce cosa si possa fare con  questi dati, quali reati e quali truffe possano essere realizzate.

Smentiamo quindi questa falsa credenza: i dati anagrafici hanno la  sessa importanza di altre tipologie di dati, anzi, la loro  combinazione può portare ad un livello di pericolosità superiore  rispetto ad un “semplice” dato bancario.

Ciò che varia è la percezione che ha l’utente della potenzialità  negativa che possono avere i dati che finiscono nelle mani dei  cybercriminali.

Non è mai “solo” un numero di telefono, non è mai “solo” un codice  fiscale, non è mai “solo” un nome e cognome. È ciò che si può fare con  quei dati, è questo il pericolo che si deve valutare.

La tipologia di attacco
L’attacco informatico messo a segno da Everest avrebbe sfruttato il  basso livello di protezione delle infrastrutture IT di SIAE. Niente  ransomware, quindi niente crittografia dei dati, ma semplice  penetration test ed esfiltrazione dei dati dovuti, appunto, alle  scarse protezioni adottate dalla società.

Si accendono, ancora una volta, i riflettori sulla necessità, per le  aziende, di investire nelle misure di prevenzione e di sicurezza  proprio per far fronte all’aumento esponenziale delle minacce cyber.

La cybersecurity deve rientrare di diritto tra le priorità aziendali  poiché non è possibile, considerando i danni, economici e  reputazionali, ai quali espone un incidente informatico, rimandare il  rafforzamento delle misure in questo senso.