Περίληψη της Απόφασης
Προέλευση της υπόθεσης
Η Ιταλική Αρχή Προστασίας Δεδομένων (DPA) ξεκίνησε έρευνα κατά της Wind Tre SpA μετά από δύο παραβιάσεις προσωπικών δεδομένων που κοινοποιήθηκαν από την εταιρεία τον Φεβρουάριο του 2025.
Οι παραβιάσεις αφορούσαν μη εξουσιοδοτημένη πρόσβαση στα συστήματα της εταιρείας σε δύο διαφορετικά καταστήματα λιανικής πώλησης. Οι εισβολείς, παριστάνοντας το προσωπικό τεχνικής υποστήριξης, χρησιμοποίησαν τεχνικές κοινωνικής μηχανικής για να πείσουν τους υπαλλήλους να παραχωρήσουν απομακρυσμένη πρόσβαση στις συσκευές τους.
Στη συνέχεια, οι επιτιθέμενοι απέκτησαν πρόσβαση στα προσωπικά δεδομένα των πελατών, συμπεριλαμβανομένων των στοιχείων ταυτοποίησης και επικοινωνίας. Συνολικά, οι παραβιάσεις επηρέασαν περισσότερους από 365.000 πελάτες. Για 41.359 άτομα, οι πληροφορίες που παραβιάστηκαν περιελάμβαναν επίσης στοιχεία μεθόδου πληρωμής, όπως IBAN, ταχυδρομικά δελτία πληρωμής και μερικώς καλυμμένους αριθμούς πιστωτικών καρτών με ημερομηνίες λήξης.
Βασικά ευρήματα
Η ιταλική Αρχή Προστασίας Δεδομένων (DPA) διαπίστωσε σοβαρές ελλείψεις στα τεχνικά και οργανωτικά μέτρα που εφάρμοσε η Wind Tre για τη διασφάλιση της ασφάλειας των προσωπικών δεδομένων. Συγκεκριμένα, η έρευνα εντόπισε ανεπαρκή διαχείριση και προστασία των ψηφιακών πιστοποιητικών, των ιδιωτικών κλειδιών και των διαπιστευτηρίων πρόσβασης που χρησιμοποιούνται στο δίκτυο πωλήσεων της εταιρείας.
Η DPA εντόπισε επίσης αδυναμίες στους ελέγχους ασφαλείας που εφαρμόζονται σε ορισμένες διεπαφές προγραμματισμού εφαρμογών (API), οι οποίες είχαν επιτρέψει στους εισβολείς να εκτελέσουν μεγάλο αριθμό αιτημάτων και να εξαγάγουν τα προσωπικά δεδομένα των πελατών.
Επιπλέον, οι αξιολογήσεις ασφαλείας που διεξήγαγε η εταιρεία δεν είχαν εντοπίσει τρωτά σημεία που θα μπορούσαν να είχαν εντοπιστεί μέσω πιο διεξοδικών ελέγχων.
Κατέληξαν στο συμπέρασμα ότι η Wind Tre δεν είχε εφαρμόσει κατάλληλα μέτρα ασφαλείας για την προστασία των προσωπικών δεδομένων από μη εξουσιοδοτημένη πρόσβαση, κατά παράβαση της αρχής της ακεραιότητας και της εμπιστευτικότητας βάσει του άρθρου 5(1)(στ) και των απαιτήσεων ασφαλείας που ορίζονται στο άρθρο 32(1)(β) του ΓΚΠΔ.
Απόφαση
Η ιταλική Αρχή Προστασίας Δεδομένων επέβαλε διοικητικό πρόστιμο ύψους 1.715.600 ευρώ στην Wind Tre SpA.
Η DPA διέταξε επίσης την εταιρεία να ενισχύσει τα τεχνικά και οργανωτικά μέτρα ασφαλείας της. Συγκεκριμένα, η Wind Tre ήταν υποχρεωμένη να:
- Βεβαιωθείτε ότι τα ψηφιακά πιστοποιητικά αποθηκεύονται χρησιμοποιώντας ασφαλείς λύσεις, όπως κρυπτογραφημένα αποθετήρια ή ειδικά συστήματα διαχείρισης κλειδιών, με κατάλληλα μέτρα ελέγχου πρόσβασης και διασφαλίσεις κατά της μη εξουσιοδοτημένης εξαγωγής.
- Εφαρμόστε συστήματα διαχείρισης κωδικών πρόσβασης για καταστήματα λιανικής πώλησης, ώστε να διασφαλίζεται η ασφαλής αποθήκευση, η πολυπλοκότητα των κωδικών πρόσβασης και η περιοδική εναλλαγή κωδικών πρόσβασης.
- Βελτίωση των διαδικασιών για τη διαχείριση του κύκλου ζωής των ψηφιακών πιστοποιητικών και διαπιστευτηρίων, συμπεριλαμβανομένης της έκδοσης, της διανομής, της ανάκλησης και της ανανέωσής τους, μέσω τυποποιημένων διαδικασιών και ειδικών συστημάτων ασφαλείας.
Η Wind Tre όφειλε επίσης να ενημερώσει την ιταλική Αρχή Προστασίας Δεδομένων, εντός 30 ημερών από την κοινοποίηση της απόφασης, για τα μέτρα που έλαβε για τη συμμόρφωση με την εντολή.
Κατά τον καθορισμό του ποσού του προστίμου, η ιταλική Αρχή Προστασίας Δεδομένων έλαβε υπόψη τον αριθμό των ατόμων που επηρεάστηκαν και τις ελλείψεις ασφαλείας που εντοπίστηκαν, καθώς και την άμεση ενημέρωση της εταιρείας για τις παραβιάσεις, τα διορθωτικά μέτρα που ελήφθησαν μετά τα περιστατικά και τη συνεργασία της κατά τη διάρκεια της έρευνας.
Για περισσότερες πληροφορίες:
