Source: Altalex

Il Provvedimento 14 maggio 2026, n. 348 adottato nei confronti di Wind Tre S.p.A. ricostruisce due data breach avvenuti in punti vendita in cui soggetti ignoti, mediante social engineering telefonico, ottennero fattori di autenticazione e accesero a una web application aziendale; il primo episodio consentì 66 interrogazioni coinvolgendo circa 23 clienti, il secondo comportò circa due milioni di richieste in logica di enumeration con l’esfiltrazione dei dati personali di 365.048 clienti e informazioni sul metodo di pagamento per 41.359 interessati. Il Garante ha accertato la violazione dell’articolo 5(1)(f) e dell’articolo 32 GDPR, ha ordinato l’adozione di misure di sicurezza aggiuntive e ha irrogato una sanzione di 1.715.600 euro.

L’Autorità ha evidenziato che, sebbene Wind Tre avesse misure tecniche come autenticazione a tre fattori, tracciamento, firewall e CAPTCHA e avesse adottato rimedi successivi (rate limiting delle API, blocco degli automation user agent, nuovi fattori di autenticazione e formazione), l’architettura lasciava prevedibili modalità di attacco. Il Garante ha contestato in particolare la gestione dei certificati digitali e delle chiavi private, richiedendo repository cifrati e sistemi di gestione delle chiavi con controlli d’accesso e meccanismi anti‑esportazione, e ha richiamato l’importanza di password manager e di controlli sul ciclo di vita di certificati e credenziali; ha inoltre rilevato che alcuni endpoint API secondari non erano adeguatamente verificati nei penetration test, favorendo l’enumeration, e ha indicato gli elementi aggravanti e attenuanti considerati nella determinazione della sanzione.