Violazione dei dati personali: cosa fare, guida completa

Una violazione dei dati personali può avere forme molto diverse: un accesso di terzi non autorizzati, un dispositivo rubato o perso, un'alterazione dei dati. Quasi sempre, però, la domanda di chi la subisce è la stessa: cosa devo fare adesso? Questa guida mette insieme quello che dicono due fonti pubbliche italiane, il Garante per la protezione dei dati personali e la Polizia Postale e delle Comunicazioni. Ci limitiamo a ciò che queste pagine affermano. Dove non dicono nulla, lo segnaliamo, perché è un'informazione utile quanto le altre.

Cosa fare per prima cosa

Le pagine consultate non offrono un'unica procedura per ogni violazione: le indicazioni dipendono da ciò che è successo.

• Se si sospetta di aver fornito dati della banca o della carta di credito a qualcuno che si è rivelato un truffatore, il Garante consiglia di contattare immediatamente la banca o il gestore della carta, usando canali di comunicazione conosciuti e affidabili. Lo scopo è segnalare l'accaduto e, se è stato sottratto del denaro, chiedere il blocco delle transazioni.
• Se un account social o di messaggistica è stato rubato, la Polizia Postale indica di partire dalla procedura di recupero della password dimenticata e, se si riesce ad accedere, di attivare subito l'autenticazione a due fattori.
• Se si riceve un messaggio sospetto, senza aver ancora fatto nulla, non bisogna cliccare sui link né aprire gli allegati inviati da sconosciuti.
• In ogni caso di truffa subita, le autorità di polizia possono ricevere la segnalazione; per alcuni reati esiste un servizio di denunce online, descritto più avanti.

Le sezioni successive spiegano ciascun punto con i dettagli forniti dalle fonti.

Che cos'è una violazione dei dati personali

La definizione del Garante

Il Garante definisce la violazione dei dati personali, o data breach, come una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati. Una violazione può compromettere la riservatezza, l'integrità o la disponibilità dei dati.

Esempi indicati dal Garante

La pagina elenca alcuni esempi possibili:

• l'accesso o l'acquisizione dei dati da parte di terzi non autorizzati;
• il furto o la perdita di dispositivi informatici contenenti dati personali;
• la deliberata alterazione di dati personali;
• l'impossibilità di accedere ai dati per cause accidentali o per attacchi esterni, virus, malware e simili;
• la perdita o la distruzione di dati personali a causa di incidenti, eventi avversi, incendi o altre calamità;
• la divulgazione non autorizzata dei dati personali.

Che cosa deve fare chi gestisce i dati

La pagina del Garante dedicata alla violazione dei dati si rivolge soprattutto al titolare del trattamento, cioè il soggetto pubblico, l'impresa, l'associazione, il partito o il professionista che gestisce i dati.

La notifica al Garante entro 72 ore

Il titolare deve notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. Fa eccezione il caso in cui sia improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone fisiche.

Se la notifica avviene oltre le 72 ore, deve essere accompagnata dai motivi del ritardo. Il responsabile del trattamento che viene a conoscenza di una possibile violazione è tenuto a informare tempestivamente il titolare, in modo che possa attivarsi.

La comunicazione alle persone interessate

Se la violazione comporta un rischio elevato per i diritti delle persone, il titolare deve comunicarla a tutti gli interessati, utilizzando i canali più idonei. L'obbligo non scatta se il titolare ha già preso misure tali da ridurne l'impatto.

La documentazione interna

Indipendentemente dalla notifica al Garante, il titolare documenta tutte le violazioni dei dati personali, per esempio predisponendo un apposito registro. Questo consente all'Autorità di effettuare verifiche sul rispetto della normativa.

Quali violazioni vanno notificate

Vanno notificate unicamente le violazioni che possono avere effetti avversi significativi sugli individui, causando danni fisici, materiali o immateriali. La pagina cita, tra le possibili conseguenze, la perdita del controllo sui propri dati, la limitazione di alcuni diritti, la discriminazione, il furto d'identità o il rischio di frode, la perdita di riservatezza dei dati protetti dal segreto professionale, una perdita finanziaria e un danno alla reputazione.

Come si invia la notifica

A partire dal 1° luglio 2021 la notifica deve essere inviata al Garante tramite un'apposita procedura telematica, disponibile nel portale dei servizi online dell'Autorità (provvedimento del 27 maggio 2021). Nella stessa pagina c'è un modello facsimile, da non usare per la notifica ma utile per vedere in anteprima i contenuti da comunicare, e uno strumento di autovalutazione (self assessment) che aiuta a individuare le azioni da intraprendere dopo un incidente di sicurezza.

Le azioni del Garante

Il Garante può prescrivere misure correttive (articolo 58, paragrafo 2, del Regolamento) quando rileva una violazione, anche sull'adeguatezza delle misure di sicurezza applicate ai dati. Sono previste sanzioni pecuniarie che possono arrivare fino a 10 milioni di euro oppure, nel caso di imprese, fino al 2% del fatturato totale annuo mondiale.

Phishing: come funziona e come riconoscerlo

La Polizia Postale descrive il phishing come una truffa realizzata sulla rete attraverso l'inganno degli utenti. Si concretizza principalmente con messaggi di posta elettronica ingannevoli.

Il messaggio che sembra ufficiale

L'e-mail sembra provenire da istituti finanziari, come banche o società emittenti di carte di credito, oppure da siti web che richiedono una registrazione per l'accesso, come web-mail o e-commerce. Il messaggio riferisce problemi di registrazione o di altra natura e invita a fornire i propri dati riservati di accesso al servizio.

Per rassicurare in modo falso il destinatario, il messaggio contiene di solito un collegamento che sembra rimandare al sito dell'istituto o del servizio. In realtà il sito a cui ci si collega è stato allestito in modo da essere identico all'originale. Se l'utente inserisce i propri dati riservati, questi finiscono nella disponibilità dei criminali.

I virus

La Polizia Postale segnala un pericolo più subdolo, con la stessa finalità di carpire i dati di accesso a servizi finanziari online o ad altri servizi che richiedono registrazione: i virus informatici. Le modalità di infezione sono diverse. La più diffusa resta l'allegato al messaggio di posta elettronica. Oltre ai file con estensione .exe, i virus si diffondono nascosti dietro false fatture, contravvenzioni e avvisi di consegna pacchi, in formato .doc o .pdf.

Due tipi di virus sono descritti in modo specifico: il cosiddetto financial malware o trojan banking, che si attiva per carpire dati finanziari, e i virus che si attivano quando sulla tastiera vengono inseriti userid e password (keylogging), con cui i criminali ottengono le chiavi di accesso agli account di posta elettronica o di e-commerce.

La pagina sul phishing descrive la truffa ma non elenca accorgimenti: per i consigli pratici ci si può rifare alle pagine del Garante e alle pagine di cyber hygiene della Polizia, riportate più avanti.

Smishing: il phishing con SMS e messaggistica

Che cos'è

Il Garante definisce lo smishing, o phishing tramite SMS, come una forma di truffa che usa messaggi di testo e sistemi di messaggistica, comprese le piattaforme social media, per appropriarsi di dati personali a fini illeciti, per esempio per sottrarre denaro da conti e carte di credito.

Come funziona

I messaggi invitano a compiere azioni o a fornire informazioni con urgenza, per non rischiare danni, come il blocco di utenze, della carta o del conto, oppure sanzioni. Tra le richieste ci sono: cliccare un link che porta a un modulo online dove inserire dati personali, bancari o della carta (il link può anche servire a installare sullo smartphone programmi malevoli che carpiscono i dati o accedono alle app di Internet banking); scaricare un allegato che può contenere programmi malevoli in grado di prendere il controllo dello smartphone; rispondere al messaggio inviando dati come il codice fiscale, il PIN, il numero e il codice di sicurezza della carta o l'OTP, cioè la password temporanea per operare sul conto; chiamare un numero di telefono, dove un finto operatore o un sistema automatizzato chiede informazioni di vario tipo.

Perché è pericoloso

Secondo il Garante, chi invia questi messaggi fa leva sul timore di un rischio incombente per convincere le vittime ad abbassare il livello di prudenza e a reagire d'impulso. Conviene diffidare dei messaggi con toni ultimativi e intimidatori o che spingono ad agire con fretta e urgenza. La pagina porta come esempi un presunto account compromesso segnalato da una banca o da un gestore di carte, offerte di sconti straordinari o ricariche telefoniche a costi incredibilmente vantaggiosi, bollette o rate da saldare con urgenza, pacchi o raccomandate da ritirare, sanzioni da pagare attribuite ad amministrazioni pubbliche e avvisi di violazione dell'account da parte di piattaforme social o di messaggistica.

Come difendersi

Il Garante consiglia di:

• non comunicare mai a sconosciuti dati personali, codici di accesso, PIN, password, dati bancari e della carta di credito. Istituzioni e banche non chiedono di fornire dati personali tramite SMS o messaggistica istantanea, soprattutto informazioni come PIN, password e codici di autorizzazione, che di solito loro stesse invitano a tenere riservate;
• non conservare sullo smartphone le credenziali bancarie o della carta, perché in caso di intrusione potrebbero essere sottratte facilmente, e controllare spesso le movimentazioni, attivando se possibile gli alert automatici;
• non cliccare sui link e non aprire gli allegati dei messaggi di sconosciuti, che potrebbero contenere virus o programmi capaci di prendere il controllo di computer e smartphone;
• prestare la massima attenzione ai messaggi che provengono da numerazioni anomale o particolari, per esempio numeri con poche cifre, o da utenze identificate da un nome con il numero nascosto.

Quando il mittente sembra una persona conosciuta

Il Garante spiega che il truffatore può avere preso il controllo del dispositivo o del numero di un conoscente, o di un soggetto con cui si hanno rapporti (la pagina usa il termine spoofing). In questo caso suggerisce di cercare anomalie nel testo, come errori linguistici, grammaticali o lessicali, che spesso sono indizi di smishing, e di chiedersi se quella persona farebbe davvero certe richieste, per esempio di soldi via SMS, contattandola in caso di dubbio su canali affidabili.

Se il messaggio invita a richiamare numeri di aziende o istituzioni, il Garante raccomanda di controllare sempre prima che corrispondano a quelli ufficiali, per esempio sui siti istituzionali. Per estrema sicurezza ci si può rivolgere al centralino o all'URP e chiedere di essere messi in contatto con l'ufficio che dovrebbe aver inviato il messaggio.

Vishing: il phishing telefonico

Che cos'è

Il vishing, o phishing vocale, è secondo il Garante una forma di truffa sempre più diffusa che usa il telefono per appropriarsi di dati personali, specie bancari o legati alle carte di credito, e sottrarre somme di denaro più o meno ingenti.

Come si svolge

Di solito le vittime sono contattate da finti operatori di banche o di società che gestiscono bancomat o carte di credito. Con la scusa di presunte anomalie, chiedono di collaborare a necessarie, ma false, procedure di sicurezza. Nel caso più frequente chiedono direttamente i riferimenti del conto o della carta, come PIN, numero, codice di sicurezza e dati dell'OTP. Il Garante definisce il metodo apparentemente banale, ma efficace, specie con le persone anziane.

La pagina descrive altri scenari. Durante o dopo la finta telefonata può arrivare un messaggio con un codice di conferma, che viene chiesto di leggere ad alta voce all'operatore: il codice serve in realtà ad autorizzare trasferimenti di denaro a favore dei truffatori, già in possesso dei dati bancari. Il messaggio può anche contenere un link a un modulo dove inserire i dati bancari o il presunto codice di sicurezza. Si può essere invitati a installare app che dovrebbero proteggere conti e carte ma che possono operare come trojan, cioè programmi malevoli capaci di carpire dati o accedere alle app di Internet banking. Infine, messaggi inviati sullo smartphone, via e-mail o lasciati in segreteria possono spingere a richiamare con urgenza certi numeri, dove un operatore o un messaggio registrato chiede informazioni, compresi i dati bancari.

Perché è pericoloso

Anche qui si fa leva sul timore di un rischio incombente. Il Garante parla di una forma particolare di ingegneria sociale di elevata efficacia. Il danno può essere ingente, perché prima che la vittima si accorga delle sottrazioni può passare del tempo, durante il quale i truffatori possono effettuare numerosi prelievi e transazioni oppure rivendere i dati ad altri criminali informatici.

Non sempre chi telefona si finge un operatore di banca. Il Garante indica come varianti il finto impiegato del servizio clienti di una società, di solito di software, che segnala un problema di sicurezza; il finto impiegato che comunica un premio o sconti a patto di fornire i dati del conto; il finto ufficio pubblico che chiede di pagare con urgenza imposte o multe, pena sanzioni ingenti.

Gli indizi di una chiamata sospetta

Il Garante segnala alcuni indizi. Istituzioni e aziende chiamano di solito da numeri fissi e con prefissi nazionali: chiamate da numeri anonimi, da cellulari o da prefissi stranieri possono essere considerate anomale, anche se, precisa la pagina, ricevere la chiamata da un numero apparentemente ordinario non è garanzia di sicurezza. Conviene diffidare delle chiamate con toni ultimativi o intimidatori, che minacciano la chiusura del conto, il blocco della carta o sanzioni se non si agisce subito. Sono sospetti anche gli operatori con toni poco educati o troppo confidenziali, non consoni all'azienda che dovrebbero rappresentare.

Come difendersi

I dati personali, i codici di accesso, il PIN, le password e i dati bancari non dovrebbero mai essere comunicati a sconosciuti. Amministrazioni pubbliche, banche e società di carte di credito conoscono già alcune informazioni, come il numero di conto o di carta, e non dovrebbero chiedere quelle che di solito invitano a tenere riservate.

Valgono le cautele sui numeri da richiamare già viste per lo smishing: controllarli, passare dal centralino o dall'URP. Il Garante aggiunge di evitare di richiamare numeri sconosciuti, soprattutto dopo telefonate mute con caduta immediata della linea. In caso di dubbio di essere stati vittime, si contatta subito la banca o il gestore della carta e si chiede, se è stato sottratto denaro, il blocco delle transazioni. Si può anche segnalare la truffa alle autorità di polizia.

Password sicure

La Polizia Postale inserisce la scelta di password sicure tra le principali regole di cyber hygiene. Secondo la Polizia, password poco complesse possono essere scoperte facilmente da chi vuole accedere al conto bancario, fare acquisti in rete, sostituirsi a una persona sui social o avere accesso ai suoi dati personali. La Polizia dichiara di occuparsi quotidianamente di casi di furto di profili personali, come e-mail e social.

I punti chiave indicati sono:

• impostare una password complessa, con un minimo di 8 caratteri alfanumerici, con almeno un numero, una lettera maiuscola e un simbolo speciale;
• non usare informazioni riconducibili a sé, ai familiari o ai propri interessi, come la data di nascita o altri nomi;
• preferire parole di fantasia o comunque non presenti nel dizionario;
• non condividere la password con altre persone;
• quando la si inserisce su un dispositivo altrui, disconnettersi al termine della navigazione e non memorizzarla mai nel browser;
• cambiarla periodicamente, ogni 90 giorni;
• non usare la stessa password per tutti gli account;
• attivare l'autenticazione a due fattori su tutte le applicazioni.

La pagina sulla protezione degli account social parla invece di modificare la password almeno ogni tre mesi.

Autenticazione a due fattori e verifica in due passaggi

La differenza tra le due

La Polizia Postale segnala che i casi di furto di account social e di messaggistica istantanea sono in costante aumento e raccomanda sistemi di protezione come l'autenticazione multifattoriale. L'autenticazione di base richiede un solo fattore, di solito una password. Quella multifattoriale associa alla password un altro fattore di sicurezza, che rende più difficile la violazione da parte di terzi.

I fattori di autenticazione sono di tre tipi:

• dati già conosciuti dall'utente, come una password o un PIN;
• codici temporanei generati di volta in volta e ricevuti dall'utente, per esempio su smartphone o token;
• elementi che identificano l'utente, come l'impronta digitale o i dati biometrici.

La verifica in due passaggi combina fattori della stessa categoria, per esempio password e PIN. L'autenticazione a due fattori combina invece fattori di tipologia diversa, per esempio password e impronta digitale.

Dove attivarla

La Polizia consiglia di attivare il servizio su tutti i profili social e di messaggistica, citando Facebook, Instagram, WhatsApp e Telegram, dalle impostazioni di sicurezza dell'account, e fornisce i link alle istruzioni di ciascuna piattaforma. Consiglia inoltre di proteggere sempre lo smartphone con password di sblocco, impronta digitale o riconoscimento facciale.

Proteggere e recuperare un account social

Prevenire

La Polizia Postale elenca alcuni accorgimenti di cyber hygiene per evitare che gli account social vengano violati:

• usare una password forte e complessa, con l'autenticazione a due fattori attiva, come visto sopra;
• tenere sempre aggiornati l'e-mail e il numero di telefono associati al profilo, per essere certi di poter ripristinare le credenziali in qualsiasi momento;
• non cliccare mai sui link ricevuti per messaggio e non inviare per nessun motivo link e codici ricevuti tramite SMS, anche se l'account sembra appartenere a un contatto, perché potrebbe essere stato rubato a sua volta;
• usare profili chiusi, che impediscono a persone sconosciute di impossessarsi delle immagini e di acquisire informazioni personali.

Recuperare un account rubato

Il primo passaggio è attivare la procedura di recupero della password dimenticata. Se si riesce ad accedere all'account, si attiva immediatamente l'autenticazione a due fattori per non perderne di nuovo il possesso. Se non è possibile reimpostare la password perché l'e-mail e il numero associati sono già stati modificati, si avvia la procedura di recupero dell'account rubato attraverso il centro assistenza della piattaforma e ci si reca presso un qualunque ufficio di polizia per formalizzare la denuncia.

Denunciare online

Il servizio Denunce online

La Polizia Postale descrive il servizio Denunce online, accessibile sul portale della Polizia di Stato e disponibile anche nell'app IO, nella sezione Servizi. Si accede tramite SPID o CIE. Il portale offre due servizi: una pre-denuncia online per alcune tipologie di reati, da formalizzare poi presso un ufficio di Polizia, e una segnalazione di smarrimento online, con rilascio di un verbale protocollato entro 96 ore senza necessità di formalizzazione.

La pre-denuncia

La pre-denuncia viene trasmessa per via telematica e va formalizzata entro le successive 48 ore presso un ufficio della Polizia di Stato, previo appuntamento da fissare con il servizio di prenotazione della stessa piattaforma. I fatti per cui si può presentare sono furto, frode informatica, truffa, accesso abusivo a un sistema informatico o telematico, indebito utilizzo di carte di credito e di pagamento, diffamazione online.

La pagina precisa che il nuovo sistema è attivo, per la fase di sperimentazione, solo presso alcuni uffici, che elenca: la questura di Rieti, la questura di Frosinone e alcuni commissariati, oltre a strutture del Lazio della Polizia cibernetica, ferroviaria e stradale. Per quanto riguarda gli altri uffici, la pagina non dice nulla.

La segnalazione di smarrimento

La segnalazione di smarrimento è invece attiva in tutta Italia. Riguarda, tra l'altro, cellulare, tablet, computer portatile, carta d'identità, targa, bancomat e carta di credito. Basta farla online, senza presentarsi in un ufficio di Polizia. Il verbale protocollato è disponibile, entro 96 ore dall'invio, nell'area personale del portale. Una volta scaricato, il documento è valido per chiedere una copia, per l'emissione di un nuovo documento o per altre richieste.

Che cosa le fonti non precisano

Le pagine su cui si basa questa guida hanno un limite, e conviene dirlo con chiarezza.

• La pagina del Garante sulla violazione dei dati personali non contiene indicazioni su cosa debba fare la singola persona coinvolta: descrive gli obblighi del titolare, le notifiche e le sanzioni.
• Le pagine sullo smishing e sul vishing danno consigli generali per difendersi dalle truffe e non trattano il caso di chi sa che una specifica organizzazione ha subito una violazione.
• La pagina della Polizia Postale sul phishing descrive le modalità della truffa e dei virus, ma non propone una procedura di risposta.

Su questo punto è bene essere netti: nessuna delle pagine consultate permette di dire a una persona se sia o meno coinvolta in una violazione. Per questo motivo non lo diciamo nemmeno qui.

Remove Me offre un'analisi gratuita, senza account: la persona inserisce i propri dati e il servizio cerca nei risultati web visibili pubblicamente, nei data breach pubblici noti (tramite Have I Been Pwned) e in un registro di data broker, poi mostra un report sbloccato con un codice a 6 cifre inviato per e-mail. Remove Me non invia ancora richieste di cancellazione per conto delle persone.