In breve
- Una violazione dei dati avviene quando un'azienda che ha informazioni su di te ne perde il controllo — a causa di un attaccante, di una configurazione sbagliata o di qualcuno dall'interno. Alcune sono piccole; altre riguardano centinaia di milioni di persone.
- Il primo passo è scoprire cosa è stato effettivamente esposto. Non tutte le violazioni sono uguali: un indirizzo e-mail trapelato è seccante; una password trapelata è urgente; un documento d'identità trapelato è una questione lunga.
- Più grande è la violazione, più spesso riappare sotto forma di phishing personalizzato con dettagli della tua vita passata — perché gli attaccanti comprano e combinano i dati rubati.
- Puoi verificare gratuitamente se il tuo e-mail o numero di telefono compare in violazioni note, usando servizi affidabili. Fallo una volta adesso, poi una volta all'anno.
- Se è stata rubata un'informazione di identità critica (numero di passaporto, codice fiscale o carta d'identità, coordinate bancarie complete), questa non è più una semplice risposta a una "violazione dei dati" — si avvicina alla prevenzione del furto d'identità. Agisci più in fretta e documenta tutto.
Cos'è
Una violazione dei dati avviene quando informazioni sulle persone — di solito clienti, dipendenti, soci o pazienti — escono dal controllo dell'organizzazione che avrebbe dovuto tenerle al sicuro. Le cause sono spesso banali più che drammatiche:
- Un attaccante sfrutta una vulnerabilità nel sito web dell'azienda o di uno dei suoi fornitori.
- Un dipendente clicca su un'e-mail di phishing e l'attaccante usa le sue credenziali per scaricare un database di clienti.
- Un archivio cloud era stato lasciato accessibile a tutti per errore.
- Un nastro di backup è andato perso, un laptop è stato rubato, una chiavetta USB è stata dimenticata in treno.
- Un dipendente scontento ha portato via il database quando ha lasciato il lavoro.
- Un fornitore terzo (il processore di pagamenti, la piattaforma marketing, il servizio di analisi) è stato violato, portando con sé anche i dati dell'azienda.
Quello che viene esposto varia enormemente. Categorie comuni:
- Solo un indirizzo e-mail — imbarazzante ma di per sé poco rischioso.
- E-mail più password (spesso "hashata" ma a volte in chiaro) — rischio alto, soprattutto se hai riutilizzato quella password altrove.
- E-mail, password, nome, data di nascita, indirizzo, numero di telefono — rischio significativo; è questo insieme di dati che permette phishing molto convincenti per anni.
- Dati finanziari — numeri di carta, numeri di conto bancario — di solito portano al rinnovo della carta.
- Documenti d'identità — passaporto, carta d'identità nazionale, patente di guida — rischio di furto d'identità a lungo termine.
- Categorie sensibili — salute, orientamento sessuale, religione, opinioni politiche, dati biometrici — sotto il GDPR hanno protezioni aggiuntive e obblighi di notifica.
Come lo vieni a sapere
Alcuni modi comuni:
- L'azienda ti manda un'e-mail. "Vi scriviamo per informarvi di un incidente che potrebbe aver interessato le vostre informazioni." Leggila con attenzione; non cliccare sui link; verifica cosa è stato esposto consultando il comunicato stampa ufficiale dell'azienda.
- Un titolo di giornale nomina un'azienda che hai usato. Cerca il nome dell'azienda più "violazione dei dati" e leggi almeno due fonti indipendenti.
- Un'autorità pubblica un avviso. Nell'UE, le grandi violazioni vengono segnalate alle autorità per la protezione dei dati e spesso rese pubbliche.
- Un servizio gratuito di monitoraggio ti avvisa. Have I Been Pwned (haveibeenpwned.com) è il più affidabile — ti permette di verificare qualsiasi indirizzo e-mail nelle violazioni pubbliche note, e puoi iscriverti gratuitamente alle notifiche.
- Un gestore di password segnala credenziali riutilizzate o compromesse.
- Arriva un'ondata di phishing personalizzato — e-mail che conoscono il tuo vecchio indirizzo, il nome del tuo cane, l'azienda per cui lavoravi nel 2017. Sono dati rubati messi in azione.
Cosa fare
Passo 1 — conferma cosa è stato esposto.
Leggi attentamente la comunicazione ufficiale dell'azienda. Nella maggior parte dei paesi, sono obbligati a dirti le categorie di informazioni interessate. Era solo la tua e-mail, o anche una password, o anche una carta di pagamento, o anche il tuo documento d'identità? La risposta è diversa per ciascun caso.
Se la comunicazione è vaga — "alcune informazioni sull'account" — cerca notizie indipendenti (giornalisti di sicurezza informatica, avviso dell'autorità nazionale per la protezione dei dati). Non fidarti solo della versione dell'azienda.
Passo 2 — agisci in base a ciò che è stato effettivamente esposto.
- Solo e-mail. Per lo più un fastidio. Aspettati più spam e forse più phishing. Nient'altro da fare.
- Password. Cambiala immediatamente sul sito violato. Se l'hai riutilizzata altrove, cambiala ovunque. È il momento di adottare un gestore di password se non ne hai uno.
- E-mail più password. Come sopra, più attiva il 2FA sull'account violato e sull'e-mail se non è già abilitato.
- Indirizzo, data di nascita, numero di telefono. Aspettati phishing personalizzato per mesi. Sii più cauto del solito quando rispondi a messaggi che "conoscono" dettagli su di te.
- Dati della carta. Chiama l'emittente della carta; richiedi una nuova carta e numero. Controlla gli estratti conto con attenzione per il mese successivo.
- Dati bancari. Avvisa la banca, segnala il conto. Tieni d'occhio le piccole transazioni "test" prima di quelle grandi.
- Documenti d'identità. Questo è ora uno scenario di prevenzione del furto d'identità, non solo una risposta a una violazione. Vedi Recupero da furto d'identità; blocca il credito; considera di sostituire il documento se il tuo paese lo consente.
- Dati personali sensibili (salute, orientamento sessuale, religione, ecc.). Sotto il GDPR potresti avere diritti specifici a rimedio e risarcimento. Parla con la tua autorità nazionale per la protezione dei dati; potresti anche avere un'azione contro l'azienda.
Passo 3 — esercita i tuoi diritti.
Nell'UE, nel Regno Unito, in Svizzera e in molti altri paesi hai il diritto di:
- Sapere quali dati l'azienda ha su di te (richiesta di accesso da parte dell'interessato).
- Cancellare i dati che l'azienda non ha più bisogno (diritto alla cancellazione / diritto all'oblio).
- Opporti a determinati trattamenti.
- Presentare un reclamo alla tua autorità nazionale per la protezione dei dati.
- Richiedere un risarcimento se hai subito un danno.
Il reclamo è gratuito, spesso online, e l'autorità indagherà anche se non capisci tutti i dettagli tecnici.
Cosa NON fare
- Non ignorare l'e-mail di notifica perché sembra marketing. È raramente una truffa — ma se non sei sicuro, vai direttamente sul sito dell'azienda invece di cliccare sul link nell'e-mail.
- Non rispondere ai messaggi di follow-up che offrono "recupero dei dati" o "protezione del credito" che non hai richiesto. Spesso sono truffe opportunistiche che prendono di mira le vittime con proposte personalizzate.
- Non accettare l'offerta di monitoraggio del credito gratuito dell'azienda senza leggere le condizioni — alcune richiedono che tu rinunci al diritto di fare causa.
- Non cambiare la password su una rete Wi-Fi pubblica se hai una scelta. Aspetta di essere a casa.
- Non supporre che "hanno solo preso la password hashata" significhi che la password è al sicuro. La qualità dell'hash varia; alcuni hash sono craccabili in poche ore per password deboli. Cambiala.
- Non colpevolizzarti. La violazione non è colpa tua. Hai affidato i tuoi dati all'azienda in buona fede; è lei ad aver fallito nella protezione.
Usare l'IA per aiutarti
Analizzare la notifica:
"Ho ricevuto una notifica di violazione dei dati da [azienda]. Di seguito c'è il messaggio che hanno inviato e i dettagli sulla violazione che ho trovato nelle notizie. Per favore aiutami a (a) capire quali categorie dei miei dati sono state probabilmente esposte, (b) elencare le azioni più prioritarie da intraprendere nelle prossime 24 ore, (c) identificare le categorie di attacchi successivi a cui stare attento nei prossimi tre mesi, e (d) dirmi se la legge sulla protezione dei dati del mio paese mi dà diritti o rimedi specifici da considerare.
[incolla notifica + riepilogo notizie]"
Redigere una richiesta di accesso ai dati:
"Voglio chiedere a [azienda] una copia di tutti i dati che hanno su di me, esercitando il mio diritto ai sensi del [GDPR / UK DPA / LPD svizzera / ecc., a seconda del paese]. Per favore redigi una lettera formale in [lingua], includendo la base giuridica, l'ambito della richiesta e un termine ragionevole per la risposta. Mantieni un tono professionale e fermo."
Chi chiamare
- L'azienda stessa, attraverso il loro canale ufficiale — ma prima leggi fonti indipendenti per sapere cosa chiedere.
- La tua banca o l'emittente della carta se sono stati esposti dati finanziari.
- La tua autorità nazionale per la protezione dei dati per presentare un reclamo e verificare se hanno pubblicato indicazioni per quella specifica violazione.
Autorità nazionali:
- Italia — Garante per la protezione dei dati personali (garanteprivacy.it).
- Svizzera (IT) — IFPDT / EDÖB (edoeb.admin.ch).
Nell'UE, i reclami possono essere presentati all'autorità per la protezione dei dati di qualsiasi stato membro in cui vivi, lavori o dove è avvenuta la violazione.
Quando andare oltre una semplice conversazione
- Una violazione riguarda documenti d'identità o dati sensibili di categoria speciale e vivi nell'UE/UK/CH — presenta un reclamo formale alla tua autorità per la protezione dei dati. L'indagine è gratuita; se si è verificato un danno materiale, potresti avere un diritto al risarcimento.
- La violazione ha riguardato la tua banca, la tua assicurazione o un fornitore di salute essenziale — parla con un avvocato se non riesci a ottenere risposte chiare su portata e tempi. Esistono meccanismi di class action per alcune violazioni in base a varie leggi nazionali.
- Ricevi richieste di estorsione — "abbiamo i tuoi dati, pagaci per cancellarli" — non pagare; segnala alla polizia; i dati sono già in circolazione.
- I dati di un bambino sono stati esposti — i dati dei minori ricevono una protezione maggiore nella maggior parte dei paesi; segnalalo direttamente al garante. Tieni d'occhio i conti aperti a nome del bambino anche molto tempo dopo la violazione.
- Il tuo datore di lavoro ha subito una violazione e le tue credenziali di lavoro potrebbero essere esposte — informa subito l'IT; le stesse credenziali potrebbero dare accesso ai sistemi interni.
Fonti e letture aggiuntive
- Have I Been Pwned — database pubblico di violazioni
- GDPR UE — Articoli 33, 34 (notifica di violazione), 82 (risarcimento)
- LPD svizzera / nLPD — regole attuali sugli obblighi dei responsabili del trattamento
- ENISA — rapporti annuali sulle tendenze delle violazioni dei dati
- Rapporti State of the Phish — vettori di phishing successivi a grandi violazioni