Aggiornamento in merito alla violazione di dati personali ai sensi dell’Art. 33 C.2. GDPR da parte di Mantova Ambiente s.r.l.

In questi giorni Mantova Ambiente s.r.l., società soggetta all’attività di direzione e coordinamento di Tea s.p.a., ha inviato ai Comuni interessati l’aggiornamento conclusivo in merito agli esiti delle attività di indagine di informatica forense relative all’attacco informatico subito in data 16 aprile 2024, che ha coinvolto i dati personali di utenti del servizio di igiene ambientale di Codesto Comune.

Gli elementi salienti emersi al termine della indagine peritale, protrattasi dal 20 Maggio al 5 Luglio 2024, sono i seguenti:

• la data esatta di violazione dei sistemi, con conseguente accesso ai dati personali degli interessati, è stata individuata nel giorno 10/4/2024, mentre la criptazione dei dati stessi rimane confermata al 16/4/2024;
• il gruppo criminale che ha rivendicato l’attacco informatico è denominato “Black Basta”, una gang di cyber-criminali identificata per la prima volta nell'aprile del 2022, che in poco più di un anno ha colpito più di 500 organizzazioni a livello globale, comprese infrastrutture critiche in Nord America, Europa e Australia;
• le attività di analisi dei  dati esfiltrati e pubblicati sul Dark Web, svolta con software di analisi forense, ha presentato significative difficoltà tecniche, sia per la mole dei dati stessi che per la struttura del data set;
• sono state quindi svolte attività di ricerca indicizzata ed automatizzata sulla base di alcune parole chiave standard comunemente utilizzate nel contesto del trattamento dei dati personali degli utenti dei servizi di igiene pubblica;
• per le dimensioni e la struttura del data set pubblicato e relativo ai dati esfiltrati, non è stato possibile valorizzare parole chiave come “nome” “cognome” “indirizzo” “posizione debitoria” “username” per giungere a conclusioni certe relative ai singoli interessati, senza il rischio di ottenere un numero elevato di falsi positivi.

Le informazioni ricavate non vanno oltre a quanto sopraesposto e a quanto indicato da Tea Ambiente spa al link: https://teaspa.it/irj/portal/ts/attacco-informatico.

Lo scrivente Ente ha provveduto a porre in essere tutti gli adempimenti, ad esso spettanti, previsti in materia di protezione dei dati personali (Reg. UE 2016/679).

Si suggerisce, pertanto, a tutti i cittadini potenzialmente interessati, di adottare tutte le misure e i comportamenti prudenziali, validi in ogni occasione ed a maggior ragione in queste circostanze, al fine di mitigare il possibile impatto derivante dalla violazione:

• prestare la massima attenzione a richieste di contatto telefonico, e-mail, SMS anche se apparentemente provenienti da mittenti affidabili;
• valutare attentamente eventuali e-mail contenenti collegamenti ipertestuali (link), in quanto tali link potrebbero essere usati per indirizzare l’utente verso siti web dannosi; 
• valutare attentamente le e-mail contenenti allegati sospetti o inusuali; 
• diffidare di qualunque e-mail sospetta, anche se all’apparenza pare provenire da persone che conoscete (ad esempio e-mail scritte con linguaggio non preciso o non corretto); 
• non fornire dati personali a soggetti terzi non identificati e verificati;
• aggiornare periodicamente le password degli account (e-mail, social ecc.) componendo sequenze lunghe almeno 12 caratteri e non facilmente identificabili, mettendo sempre caratteri minuscoli, maiuscoli, speciali e numeri.

Ulteriori informazioni a cura di Tea Spa sono disponibili ai seguenti link:

https://teaspa.it/irj/portal/ts/display_post?site=teaspa&mode=news&id=17544

https://teaspa.it/irj/portal/ts/attacco-informatico

Per qualsiasi dubbio su quanto accaduto o per ulteriori informazioni, sono a disposizione, inoltre, i seguenti punti di contatto:

• il numero verde predisposto da Tea 800 903693
• il responsabile della Protezione dei dati del Comune è contattabile via PEC: boxxapps@legalmail.it o mail: dpo@boxxapps.com