În Italia, hackerii au accesat datele a peste 300.000 oameni spunând că sunt de la suport tehnic. Operatorul de telefonie a fost amendat cu 1,7 milioane de EURO

Ieri, 10 noiembrie 2026, Comitetul European pentru Protecția Datelor (CEPD) a publicat decizia prin care autoritatea italiană de protecție a datelor (Garante) a amendat operatorul de telefonie Wind Tre S.p.A. cu 1.715.600 de euro.

Atacatorii nu au spart niciun sistem, ci au accesat datele prin metoda „ingineriei sociale”. Au sunat în două magazine, s-au prezentat drept suport tehnic și au obținut acces de la distanță la calculatoarele angajaților. Amenda nu a fost aplicată pentru că angajații au fost păcăliți, ci pentru că, odată intrați în calculatoare, atacatorii au găsit credențiale păstrate nesigur și sisteme care nu au limitat extragerea datelor.

Ce s-a întâmplat?

În februarie 2025, Wind Tre a notificat autorității două incidente de securitate produse în două magazine din rețeaua sa de vânzare. În ambele cazuri, atacatorii au folosit ingineria socială. S-au dat drept personal de suport tehnic și i-au convins pe angajați să le acorde acces de la distanță la dispozitivele de lucru.

Ingineria socială este metoda prin care atacatorul obține accesul de la un om, nu de la un sistem. De exemplu, un apel de la un presupus coleg de la IT, care cere instalarea unui program de asistență la distanță pentru a „rezolva o eroare”.

Au fost afectați peste 365.000 de clienți. Pentru 41.359 dintre ei au fost expuse și date financiare: IBAN-uri, date din buletinele de plată poștală și numere de card parțial mascate, împreună cu data expirării.

Ce a constatat autoritatea italiană?

Autoritatea a reținut încălcarea art. 5 alin. (1) lit. f) și a art. 32 alin. (1) lit. b) GDPR, adică a obligației operatorului de a asigura confidențialitatea și integritatea datelor cu caracter personal prin măsuri tehnice și organizatorice adecvate.

Trei deficiențe au stat la baza sancțiunii. Certificatele digitale, cheile private și credențialele din rețeaua de vânzare erau gestionate deficitar. Interfețele prin care aplicațiile din magazine comunică cu sistemele centrale (API-urile) nu aveau controale suficiente și permiteau cereri în masă. Evaluările de securitate făcute de companie nu identificaseră aceste vulnerabilități.

Cu alte cuvinte, calculatorul din magazin păstra „legitimația” cu care se autentifica în sistemele companiei, iar cine prelua controlul calculatorului o putea folosi. Apoi, sistemul nu a tratat ca suspect faptul că un singur punct de lucru cerea datele a sute de mii de clienți.

Notificarea promptă a incidentelor, măsurile corective luate și cooperarea cu autoritatea au fost reținute ca circumstanțe atenuante.

Ce măsuri a dispus autoritatea?

Pe lângă amendă, Wind Tre a fost obligată să păstreze certificatele digitale în soluții securizate (depozite criptate sau sisteme de gestionare a cheilor), să introducă sisteme de gestionare a parolelor în magazine și să formalizeze ciclul de viață al certificatelor și credențialelor: emitere, distribuire, revocare și reînnoire.

Ce se întâmplă dacă o firmă din România trece printr-un incident similar?

Regulile sunt aceleași, pentru că GDPR se aplică în România exact ca în Italia. Dacă un angajat acordă acces de la distanță unei persoane neautorizate, compania trebuie să stabilească imediat la ce date cu caracter personal s-a ajuns, câte persoane sunt afectate și ce riscuri există pentru ele.

Incidentul se notifică ANSPDCP fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la data la care compania a luat cunoștință de el, cu excepția cazului în care este improbabil ca incidentul să genereze un risc pentru persoanele vizate (art. 33 GDPR). Dacă riscul este ridicat, cum se întâmplă de regulă când sunt expuse date financiare, trebuie informate și persoanele vizate (art. 34 GDPR).

Notificarea nu înlătură răspunderea pentru lipsa măsurilor de securitate, dar, așa cum arată decizia italiană, contează la stabilirea sancțiunii.

Ce recomand companiilor?

Recomand ca prima măsură să fie o regulă internă simplă. Niciun angajat nu acordă acces de la distanță la un apel primit. Dacă cineva se prezintă drept suport tehnic, angajatul închide și raportează incidentul către IT. Regula trebuie exersată la instruirile periodice, cu exemple concrete, și verificată prin apeluri de test.

Totodată, recomand un inventar al conturilor, parolelor și certificatelor folosite. Unde sunt păstrate și cine le poate copia? În plus, furnizorul de IT trebuie să limiteze numărul de cereri pe care un cont le poate face într-un interval de timp și să semnaleze accesările neobișnuite. Aceste măsuri trebuie documentate și cuprinse în politici și proceduri GDPR, pentru că la un control al ANSPDCP, trebuie să dovedească faptul că a luat măsuri adecvate.

🎓 Ești DPO, avocat sau consultant și ai nevoie de un sistem de implementare GDPR corelat cu Actul IA, NIS2 și DSA? Consultă produsul nostru KIT GDPR Premium aici.

✅ Ai nevoie de implementare GDPR de la A la Z? Vezi serviciile pe care le oferim aici.