Il 16 luglio il Garante per la protezione dei dati personali ha reso nota una sanzione da 1,7 milioni di euro (per la precisione 1.715.600) nei confronti di WindTre, a seguito di due data breach che hanno esposto i dati personali di oltre 365mila clienti. La notizia farebbe pensare a una vicenda da grande operatore, lontana dalla vita di una piccola impresa. Ma il modo in cui è entrato l’attaccante dovrebbe far fermare a riflettere chiunque abbia anche solo un paio di dipendenti.
Non è stato un exploit: è stato un «tecnico» al telefono
Secondo la ricostruzione del Garante, gli attaccanti si sono finti tecnici dell’assistenza e hanno convinto gli operatori di due punti vendita a consentire l’accesso ai sistemi aziendali. Da lì hanno esfiltrato dati anagrafici e di contatto. Non una falla software sofisticata, non un ransomware: una telefonata e una persona convinta a fidarsi.
Questa tecnica ha un nome — social engineering, l’ingegneria sociale — e funziona proprio perché aggira la tecnologia. Puoi avere il firewall migliore del mondo: se qualcuno convince chi lavora con te ad aprirgli la porta, il firewall non è mai stato in gioco.
Per 41.359 di loro l'esfiltrazione ha riguardato anche i metodi di pagamento: ricevute postali, IBAN, numeri di carta (parzialmente oscurati) e scadenza. Il Garante ha rilevato carenze nella gestione di credenziali e certificati digitali.
Fonte: Garante privacy, newsletter 16 luglio 2026
Perché riguarda anche chi ha un negozio o pochi dipendenti
Il ragionamento istintivo è «io non ho 365mila clienti, non sono un obiettivo». È il ragionamento sbagliato. La dinamica che ha funzionato contro un grande operatore funziona ancora meglio su una piccola attività, dove spesso manca una procedura scritta su chi può dare accesso a cosa, e dove una telefonata sicura di sé («sono il tecnico del gestionale, devo entrare per un aggiornamento») trova terreno fertile.
Chi tiene i dati dei clienti — un’anagrafica, gli IBAN per gli incassi ricorrenti, le email della newsletter — ha gli stessi obblighi di legge di un colosso, in proporzione. E ha la stessa vulnerabilità di fondo: la sicurezza si spezza nel punto in cui c’è una persona che decide se fidarsi.
Un attaccante non cerca il muro più alto, cerca la porta di servizio. In una PMI la porta di servizio è la persona meno preparata a riconoscere un finto tecnico o un finto fornitore. Per questo la difesa più economica non è un software: è una regola chiara — nessun accesso ai sistemi senza verificare l'identità di chi lo chiede, con un secondo canale.
Cosa fare, in concreto
- Fissa una regola sull’accesso ai sistemi. Nessuno — nemmeno un «tecnico» o un «fornitore» — ottiene accesso a gestionale, PC o rete senza che la sua identità sia verificata con un secondo canale (richiamare il numero ufficiale del fornitore, non quello che ti ha dato lui). Scrivila in due righe e falla conoscere a chi lavora con te.
- Gestisci le credenziali come chiavi vere. Password diverse per ogni servizio, un gestore di password condiviso invece dei foglietti, e revoca immediata degli accessi quando qualcuno lascia l’azienda. Il Garante ha contestato proprio la debolezza nella gestione di credenziali e certificati.
- Forma il personale sul riconoscimento dei tentativi. Bastano quindici minuti: mostra ai dipendenti come suona una telefonata di social engineering e dai loro il permesso esplicito di dire di no e verificare, senza paura di sembrare scortesi.
- Sappi cosa fare se succede. In caso di violazione dei dati personali, il GDPR impone di notificare il Garante entro 72 ore quando c’è un rischio per gli interessati. Averlo chiaro prima, e non durante l’emergenza, fa la differenza tra una gestione ordinata e il panico.
In breve
Il Garante ha multato WindTre per 1,7 milioni dopo due data breach che hanno esposto oltre 365mila clienti. Il dettaglio che conta per una PMI non è la cifra, ma il varco: finti tecnici hanno convinto operatori di negozio a dare accesso ai sistemi. È social engineering, e colpisce con più facilità chi è piccolo e senza procedure. La difesa costa poco: una regola chiara sull’accesso, credenziali gestite bene, quindici minuti di formazione e la consapevolezza dell’obbligo di notifica entro 72 ore.