Il 16 luglio il Garante per la protezione dei dati personali ha reso nota una sanzione da 1.715.600 euro a Wind Tre, per due accessi abusivi che hanno portato all’esfiltrazione dei dati di oltre 365.000 clienti. La cifra fa notizia, ma non è la parte interessante. La parte interessante è come sono entrati: nessun exploit sofisticato, nessuna vulnerabilità zero-day. Hanno telefonato a due negozi.

Cosa è successo davvero

Gli attaccanti si sono spacciati per tecnici dell’assistenza e hanno convinto gli operatori di due punti vendita a concedere l’accesso ai sistemi aziendali. Da lì hanno estratto dati anagrafici e di contatto della clientela. Per 41.359 persone l’esfiltrazione è andata oltre: metodi di pagamento, bollettino postale, IBAN, numero di carta di credito parzialmente oscurato e data di scadenza.

I due data breach sono stati notificati dalla società nel febbraio 2025; il provvedimento del Garante è del 14 maggio 2026. L’istruttoria ha accertato carenze nella gestione delle credenziali di accesso e dei certificati digitali, e — passaggio che vale la pena rileggere — che le verifiche di sicurezza svolte dall’azienda non avevano individuato vulnerabilità che sarebbero state rilevabili con controlli più approfonditi. Tradotto: i test c’erano, ma erano fatti male.

Il Garante ha ordinato a Wind Tre di rafforzare la protezione di credenziali e certificati, introdurre strumenti sicuri per la gestione delle password e rivedere le procedure. Nel calcolo della sanzione ha considerato come attenuanti la notifica tempestiva, le misure correttive e la collaborazione durante l’istruttoria.

L’anello che nessun firewall protegge

Qui c’è la lezione che vale ben oltre il caso specifico. Un’azienda telefonica ha budget di sicurezza, penetration test, certificazioni. E il perimetro è stato bucato da una telefonata a un commesso.

Il social engineering funziona perché non attacca la macchina, attacca il contesto: un tono professionale, un’urgenza plausibile, un gergo credibile e la naturale disponibilità di chi lavora dietro un bancone a essere d’aiuto. Nessuna patch corregge questo. E più la catena distributiva è capillare — centinaia di punti vendita, spesso in franchising, con turnover alto — più i punti in cui provare diventano numerosi. Basta che uno risponda di sì.

C’è poi il secondo strato, quello che il Garante ha sanzionato: se un accesso ottenuto in un negozio permette di esfiltrare i dati di 365.000 clienti, il problema non è più solo il commesso. È che quelle credenziali potevano fare troppo. Segmentazione, privilegi minimi, limiti sulle estrazioni massive: sono controlli che trasformano un incidente in un fastidio invece che in una notifica al Garante.

Perché ti riguarda anche se non sei cliente Wind Tre

Un breach su un operatore telefonico ha una conseguenza che le cronache spesso saltano: il SIM swap. Chi conosce i tuoi dati anagrafici e di contatto ha il materiale per farsi rilasciare una SIM sostitutiva a tuo nome. Da quel momento riceve i tuoi SMS — cioè i codici di verifica di banca, email, exchange, social.

Ecco cosa fare, in ordine di efficacia:

Togli il telefono dai tuoi 2FA. L’autenticazione via SMS è la più debole in circolazione. Sposta ogni account importante su app TOTP (Aegis su Android, Ente Auth su iOS) o, meglio ancora, su una chiave hardware FIDO2 come YubiKey o Nitrokey. Se un servizio ti obbliga all’SMS, sappi che è quello il tuo anello debole.

Chiedi al tuo operatore un blocco sulla portabilità e sulle SIM sostitutive, o almeno un PIN/passphrase verbale da richiedere a ogni operazione sull’utenza. Tutti gli operatori italiani offrono qualcosa in questo senso; va richiesto esplicitamente.

Se il tuo IBAN è tra quelli esfiltrati, non serve cambiare conto: l’IBAN da solo non consente prelievi. Serve però attivare le notifiche su ogni movimento e diffidare di qualunque richiesta di “verifica” che arrivi via SMS, email o telefono citando i tuoi dati reali. È esattamente così che quei dati verranno usati.

Diffida delle chiamate che sanno già tutto di te. Il valore di questi archivi non è il singolo dato: è la credibilità che dà a chi ti chiama. Un truffatore che conosce il tuo indirizzo, il tuo operatore e le ultime quattro cifre della carta parte con un enorme vantaggio.

Conclusione

Wind Tre pagherà 1,7 milioni; i 365.000 clienti resteranno con i loro dati in circolazione per sempre, perché quello è l’unico danno che nessuna sanzione ripara. È la ragione per cui su queste pagine torniamo ossessivamente sullo stesso punto: l’unico dato davvero al sicuro è quello che non hai mai consegnato, e l’unica difesa che controlli tu è ridurre cosa un attacco altrui può fare della tua identità. Il resto — firewall, audit, multe — succede in stanze in cui non sei ammesso.

Fonti: