La vicenda alla base di entrambe le notifiche riguardava un accesso alla Web Application della società da parte di ignoti che, mediante tecniche di social engineering, hanno ottenuto i fattori di autenticazione necessari. In entrambi i casi, gli addetti ai punti vendita sono stati contattati telefonicamente da soggetti che hanno finto di necessitare di assistenza tecnica e hanno chiesto che venisse effettuato un accesso da remoto al dispositivo. Tramite questa tecnica, gli attaccanti sono riusciti ad avere accesso alla Costumer Base, contenente informazioni anagrafiche e di contatto e dati relativi al metodo di pagamento registrato presso la società.
Il Garante ha spiegato che, nel rispetto dell’art. 32 GDPR, i certificati digitali e le credenziali di autenticazione devono essere gestiti in modo corretto, al fine di garantire un livello di sicurezza commisurato al rischio, evitare accessi non autorizzati e compromissioni dei sistemi, con conseguente trattamento illecito dei dati personali.
Anche la gestione e la conservazione delle credenziali deve essere sicura. È necessaria una password principale, a protezione dei dati, integrata da sistemi OTP (One-Time Password), ossia una password monouso: questa cautela aggiuntiva permette di evitare che, in caso di compromissione delle credenziali principali, possa essere effettuato l’accesso da soggetti estranei.
La società ha giustificato l’assenza del predetto meccanismo di sicurezza su ragioni contrattuali e/o giuslavoristiche, affermando che non poteva imporre un sistema di password manager ai vari punti vendita o ai singoli collaboratori. Il Garante ha rigettato tale argomentazione, affermando che “è infatti onere del titolare disporre le misure di sicurezza che ritenga più adeguate al rischio correlato al trattamento fornendo le relative istruzioni ai propri responsabili; spetta invece a quest’ultimi rispettare le istruzioni impartite dal titolare senza che ciò incida sulla natura giuridica del rapporto instaurato fra le parti”.
All’esito dell’istruttoria, il Garante ha affermato che la società notificante era caratterizzata da diverse lacune tecnico-organizzative che, se accertate tempestivamente, avrebbero evitato i due data breach. Sul punto, l’Autorità si è concentrato principalmente sull’attività periodica di vulnerability assessment e penetration test che la società ha dichiarato di svolgere, affermando che le stesse non siano state adeguate.
Pur evidenziando l’impegno della società che, dopo la violazione dei dati personali occorsa, si è attivata subito per attenuare il rischio di possibili attacchi analoghi e ha provveduto ad informare i soggetti interessati, il Garante – accertate le violazioni di cui all’art. 5, par. 1, lett. f) e all’art. 32, par. 1, lett. b) del GDPR – ha ingiunto la società ad integrare determinate misure tecniche per garantire una maggiore protezione dei dati e l’ha condannata al pagamento di una sanzione amministrativa.