Trenitalia denuncia la violazione di dati anagrafici di alcuni passeggeri: “Nessun rischio sugli estremi di pagamento, ma ora attenzione a contatti fraudolenti”
CommentiInformazioni anagrafiche, di contatto, di viaggio e anche quelle relative alla carta fedeltà. Sono le violazioni subite da alcuni passeggeri Trenitalia. Ad annunciare “l’incidente di sicurezza informatica” è stata la stessa compagnia ferroviaria con una mail mandata ai soggetti colpiti dall’attacco causato da “soggetti esterni non identificati“.
Le informazioni, specificano ancora, non riguardano “dati di accesso agli account”, credenziali personali o “informazioni relative ai pagamenti“, come il numero della carta, la scadenza o il codice di controllo. A quanto apprende IlFattoquotidiano.it, si tratta di un furto di ‘livello 1’, essendo stati rubati solo dati relativi a biglietti e anagrafici che non impatta particolarmente sul totale dei passeggeri. In una nota, Trenitalia fa sapere di avere “immediatamente attivato tutte le misure di sicurezza necessarie. Solo al termine di verifiche tecniche è stato possibile procedere con le comunicazioni individuali previste dalla normativa vigente”.
Non è detto, si legge ancora nella comunicazione ufficiale, che tutti i dati siano stati “rubati”. Ma le informazioni che potrebbero essere state oggetto di accesso non autorizzato, “se presenti sui sistemi informatici in relazione al titolo di viaggio” rientrano in alcune categorie specifiche: dati anagrafici e identificativi (nome, cognome, data e luogo di nascita, nome e cognome dell’acquirente), dati di contatto (come email e numero di telefono), dati di viaggio (come tratta, data e orario del viaggio, numero di titolo del viaggio), codice carta fedeltà, società o ente di lavoro, offerte e informazioni legate al titolo di viaggio, estremi del documento di identità.
Trenitalia ha fatto sapere di aver svolto approfondite analisi “tecniche e si sicurezza” e poi di aver proceduto, come da linee guida Ue, a comunicare quanto accaduto ai clienti interessati. Dopo aver saputo dell'”incidente”, la compagnia dice di aver “adottato tutte le misure necessarie per interrompere l’anomalia” e mettere in sicurezza i sistemi.
L’evento è stato notificato all’Autorità Garante per la Protezione dei Dati Personali e al Computer Security Incident Response Team Italia, presentando anche denuncia alla procura della Repubblica presso il Tribunale di Roma. Il consiglio è quello di fare attenzione ad eventuali comunicazioni fraudolente o tentativi di contatto ingannevoli collegati ai viaggi.
Di seguito pubblichiamo la comunicazione di Trenitalia
Gentile Cliente,
La informiamo che, a seguito di alcune verifiche, abbiamo rilevato un incidente di sicurezza informatica causato da soggetti esterni non identificati. Questo evento ha determinato un accesso non autorizzato ad alcuni dati personali legati ai titoli di viaggio.
Per individuare con precisione i soggetti interessati potenzialmente coinvolti è stato necessario svolgere approfondite analisi tecniche e di sicurezza da parte delle nostre strutture IT. Queste verifiche hanno richiesto tempo, perché si è trattato di ricostruire nel dettaglio eventuali accessi impropri ai dati. Solo al termine di queste attività siamo stati in grado di identificare i clienti interessati e inviare questa comunicazione, come previsto dall’art. 34 del Regolamento (UE) 2016/679 e in conformità con le Linee guida EDPB n. 9/2022 versione 2.0 del 28 marzo 2023 (punti 86 e ss.).
Ci teniamo a rassicurarla su un punto importante: non sono stati coinvolti dati di accesso agli account, credenziali personali o informazioni relative ai pagamenti (come il numero della carta, la scadenza o il codice di sicurezza).
Le informazioni che La riguardano e che potrebbero essere state oggetto di accesso non autorizzato, qualora presenti sui nostri sistemi informatici in relazione al titolo di viaggio, rientrano nelle seguenti categorie di dati personali:
Dati anagrafici e identificativi (nome, cognome, data e luogo di nascita del passeggero; nome e cognome dell’eventuale acquirente);
Dati di contatto (e-mail, numero di telefono);
Dati di viaggio (informazioni associate al titolo di viaggio, quali, a titolo esemplificativo, tratta, data e orario del viaggio, numero del titolo di viaggio);
Codice carta fedeltà, ove associato al titolo di viaggio;
Società/ Ente datore di lavoro;
Tipologia di offerta o servizio associata al titolo di viaggio e dati necessari a fruire di dette offerte;
Estremi documento d’identità;
Dati connessi alla generazione del titolo di viaggio.
Non appena rilevato l’evento, abbiamo immediatamente adottato tutte le misure necessarie per interrompere l’anomalia, mettere in sicurezza i sistemi e rafforzare ulteriormente i controlli, così da ridurre il rischio che situazioni simili possano ripetersi.
Abbiamo inoltre notificato l’accaduto all’Autorità Garante per la Protezione dei Dati Personali e allo CSIRT Italia, in conformità alla normativa vigente, e presentato denuncia alla Procura della Repubblica presso il Tribunale di Roma. Considerata la tipologia di dati coinvolti, potrebbe esserci il rischio che Lei riceva comunicazioni fraudolente o tentativi di contatto ingannevoli che fanno riferimento ai suoi viaggi. Per questo Le consigliamo di prestare particolare attenzione a eventuali messaggi sospetti, soprattutto se richiedono dati personali o finanziari o contengono link o allegati inattesi. In caso di dubbio, verifichi sempre l’affidabilità del mittente. Le ricordiamo inoltre che Trenitalia non la contatterà mai per chiederLe password o dati di pagamento. Per qualsiasi chiarimento, abbiamo attivato un servizio di assistenza dedicato: – può inviare una richiesta tramite il webform opzione “Privacy – Gestione dei dati personali”. La preghiamo di inserire nell’apposito campo il seguente codice di riferimento: YETZ2#
Ci scusiamo per quanto accaduto e desideriamo rassicurarLa che la protezione dei dati personali dei nostri clienti è per noi una priorità e continuiamo a lavorare per garantire la massima sicurezza dei nostri sistemi.
Distinti saluti.
Trenitalia S.p.A.
