Data breach Wind Tre: 1,7 milioni di sanzione. Quando i “falsi tecnici” aprono la porta ai ladri di dati

Social engineering: falsi tecnici dell’assistenza

 

Con il provvedimento n. 348 del 14 maggio 2026, reso noto con la newsletter del 16 luglio, il Garante per la protezione dei dati personali ha inflitto a Wind Tre S.p.A. una sanzione di 1.715.600 euro per gravi carenze nella sicurezza dei sistemi aziendali. Il punto di partenza non è un sofisticato attacco informatico, ma una telefonata: persone che si sono presentate come tecnici dell’assistenza hanno convinto gli operatori di due punti vendita a consentire l’accesso ai sistemi della società. Da lì gli attaccanti hanno esfiltrato i dati anagrafici e di contatto di 365.048 clienti; per 41.359 di essi sono state sottratte anche informazioni sui metodi di pagamento, come IBAN, bollettini postali e carte di credito con numero parzialmente oscurato e data di scadenza.

L’istruttoria, avviata dopo i due data breach notificati dalla società nel febbraio 2025, ha accertato la violazione del principio di integrità e riservatezza (art. 5, par. 1, lett. f) del GDPR) e degli obblighi di sicurezza (art. 32, par. 1, lett. b)). Il Garante ha riscontrato in particolare carenze nella gestione delle credenziali di accesso e dei certificati digitali, e ha rilevato che verifiche di sicurezza più approfondite avrebbero permesso di individuare per tempo le vulnerabilità sfruttate.

 

Il caso in numeri

Voce	Dato
Provvedimento	n. 348 del 14 maggio 2026 (doc. web 10263796)
Sanzione	1.715.600 euro (pari allo 0,04% del fatturato)
Clienti coinvolti	365.048
di cui con dati sui metodi di pagamento	41.359
Violazioni accertate	Artt. 5, par. 1, lett. f) e 32, par. 1, lett. b) GDPR
Origine dell’attacco	Social engineering: falsi tecnici dell’assistenza verso due punti vendita
Fonte	Garante privacy, provvedimento n. 348/2026 e newsletter n. 549 del 16 luglio 2026

 

Perché riguarda tutti, non solo le grandi telco

Il meccanismo dell’attacco è lo stesso che nel 2025 il Ministero dell’Interno aveva segnalato ai Comuni per la piattaforma ANPR: qualcuno chiama, si presenta come tecnico, chiede un accesso remoto “per risolvere un problema” e l’operatore, in buona fede, apre la porta. Non serve violare i firewall se si può convincere una persona. Il provvedimento chiarisce inoltre un punto che tocca da vicino chiunque operi tramite reti di vendita, sportelli, uffici periferici o fornitori: il titolare del trattamento risponde anche delle debolezze dei propri canali distributivi, perché la formazione degli operatori, la robustezza delle credenziali e il controllo dei certificati digitali fanno parte delle misure di sicurezza che l’art. 32 GDPR gli impone.

 

Cosa fare subito

La prima difesa è organizzativa: nessun accesso ai sistemi va mai concesso sulla base di una semplice telefonata, e ogni richiesta di intervento tecnico deve essere verificata su un canale indipendente e conosciuto. Sul piano tecnico, il provvedimento indica la direzione: gestione robusta di credenziali e certificati, strumenti sicuri per le password e verifiche di sicurezza capaci di trovare le vulnerabilità prima degli attaccanti. La tabella riepiloga le azioni prioritarie.

 

Area	Azione prioritaria
Persone	Formazione anti social engineering per operatori di sportelli, punti vendita e assistenza, con procedure di verifica dell’identità di chi chiede accessi tecnici
Credenziali	Autenticazione a più fattori, rotazione e protezione delle credenziali, censimento e protezione dei certificati digitali
Controlli	Verifiche di sicurezza approfondite e periodiche (non solo formali), monitoraggio degli accessi anomali ai sistemi
Fornitori e rete vendita	Estensione delle regole di sicurezza a rivenditori, agenzie e fornitori con accesso ai sistemi, con audit documentati
Gestione incidenti	Procedure per notificare tempestivamente il data breach: nel caso Wind Tre la notifica tempestiva, le misure correttive e la collaborazione sono state valutate come attenuanti
Fonte	Elaborazione iSimply su provvedimento Garante n. 348/2026

 

Un’ultima lezione, spesso dimenticata: reagire bene conviene. Il Garante, nel quantificare la sanzione, ha espressamente tenuto conto della notifica tempestiva dell’incidente, delle misure correttive adottate e della collaborazione prestata. Gestire male un attacco è un danno; gestirlo bene, con trasparenza verso l’Autorità e verso gli interessati, riduce le conseguenze anche economiche.

 

Enrico Capirone – Presidente iSimply srl, DPO

Fonte ufficiale: Garante privacy – Provvedimento n. 348 del 14 maggio 2026 (doc. web 10263796) | Newsletter n. 549 del 16 luglio 2026