Possibile fuga di dati Salt: Il rischio maggiore inizia dopo
Salt non segnala intrusioni note nei propri sistemi, ma l'abuso di un accesso a un sistema secondario. Cosa è confermato, cosa resta aperto – e come i clienti dovrebbero reagire.
L'informazione finora più importante sulla possibile fuga di dati presso Salt è al contempo la più grande limitazione: il caso non è ancora stato definitivamente chiarito. Il gruppo di telecomunicazioni ha comunicato ai clienti di non aver rilevato alcuna intrusione nei propri sistemi in seguito a dichiarazioni apparse su Internet. È stato invece identificato l'abuso di un accesso esistente a un sistema secondario.
Ciò non prova che tutti i set di dati dichiarati siano autentici, né che l'incidente sia innocuo. Secondo le informazioni finora note, potrebbero essere interessati nomi, indirizzi postali, numeri di telefono e date di nascita. Quante persone siano coinvolte, chi gestisca il sistema secondario, per quanto tempo l'accesso sia stato abusato e se i dati siano effettivamente trapelati completamente, è ancora pubblicamente sconosciuto.
Perché «solo i dati anagrafici» non rassicura
Le informazioni menzionate non sono password. Possono però rendere i tentativi di frode più credibili. Chi conosce nome, indirizzo di residenza, numero di telefono e data di nascita può formulare un messaggio in modo che sembri una vera comunicazione Salt, una notifica di pacco o una chiamata da una banca. L'Ufficio federale della cibersicurezza avverte che i dati personali rubati possono essere utilizzati anni dopo per phishing, acquisizioni di account, furto di identità o frodi finanziarie.
Il rischio concreto risiede quindi meno in un addebito immediato che nella combinazione: un numero di telefono noto facilita lo smishing tramite SMS, una data di nascita può essere abusata in processi di verifica scarsamente protetti, un indirizzo corretto aumenta la credibilità. Da ciò non si deduce che un tale abuso sia già stato osservato presso Salt. Spiega però perché le persone coinvolte dovrebbero essere particolarmente attente nei prossimi mesi.
Cosa dovrebbero fare i clienti ora
I messaggi inaspettati non dovrebbero essere aperti tramite il link inviato. Chi riceve una fattura, una minaccia di blocco o una richiesta di «verifica» dovrebbe accedere al proprio account cliente tramite l'indirizzo salt.ch inserito manualmente o l'app ufficiale. I codici di SMS o app di autenticazione non dovrebbero mai essere inseriti in una chat e mai forniti a un presunto addetto all'assistenza.
Un cambio preventivo della password è particolarmente utile se la stessa password viene utilizzata per più servizi. Per l'account e-mail è fondamentale una password unica con autenticazione a due fattori, poiché molti altri account possono essere reimpostati tramite essa. I clienti dovrebbero inoltre controllare le fatture Salt e le comunicazioni relative a modifiche della SIM o eSIM. In caso di interruzione inaspettata della rete o di attivazione SIM sconosciuta, il fornitore deve essere contattato direttamente tramite un canale ufficiale.
Chi ha già inserito dati bancari o di carte di credito su una pagina collegata deve contattare immediatamente l'istituto finanziario. I messaggi sospetti possono essere segnalati all'Ufficio federale della cibersicurezza. Una denuncia alla polizia è opportuna se si è verificato un danno finanziario o un concreto furto di identità.
Quali obblighi stabilisce la Legge sulla protezione dei dati
La Legge svizzera sulla protezione dei dati distingue tra una violazione della sicurezza e il suo obbligo di notifica. I responsabili devono segnalare una violazione all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) il più rapidamente possibile se essa rischia di comportare un rischio elevato per la personalità o i diritti fondamentali. Un fornitore di servizi incaricato deve a sua volta segnalare un incidente all'azienda responsabile il più rapidamente possibile.
Le persone interessate devono essere informate se ciò è necessario per la loro protezione o se l'Incaricato della protezione dei dati lo richiede. Se la soglia di un «rischio elevato» è raggiunta dipende non solo dal numero di set di dati, ma anche dal tipo, dalla combinazione, dal possibile abuso e dalle misure di protezione adottate. Dalla sola informazione al cliente non si può dedurre se Salt abbia presentato una segnalazione all'IFPDT.
Le questioni aperte sono verificabili
Per un'analisi solida è necessaria più della formula «sistema secondario». Salt dovrebbe rivelare quali categorie di dati sono state effettivamente coinvolte, quante persone sono state notificate, se un elaboratore esterno di dati è stato coinvolto e quali diritti di accesso sono stati modificati. È altrettanto rilevante se i dati in questione sono stati solo affermati o tecnicamente verificati in rete.
Finché questi punti non saranno chiariti, sarebbe sbagliato parlare di una violazione confermata nei sistemi centrali di Salt. Sarebbe altrettanto sbagliato liquidare i dati anagrafici come irrilevanti. La via di mezzo ragionevole è sobria: niente panico, nessun link non verificato – e maggiore attenzione, soprattutto quando un messaggio conosce un numero sorprendente di dettagli personali.
