Un lunedì mattina i sistemi non rispondono. L’infrastruttura di virtualizzazione è inaccessibile, la password dell’utenza amministrativa è stata cambiata, un nodo risulta spento e sui dischi compare un file con la richiesta di riscatto. Da quel momento l’azienda ha due problemi: recuperare l’operatività e spiegare al Garante perché l’attacco è riuscito. Un data breach da ransomware non si valuta su quanto è stato abile l’attaccante, ma su quali misure l’azienda aveva e quali no.
Il provvedimento di luglio 2026: 120.000 euro
Il caso riguarda una società di consulenza ingegneristica, titolare del trattamento per i dati di dipendenti e organi sociali e responsabile per oltre 1.200 titolari committenti. L’attacco, attribuito a un gruppo noto di operatori ransomware, è stato rilevato il 9 ottobre 2024.
La dinamica ricostruita nell’istruttoria è istruttiva. L’ipotesi principale è che l’attaccante sia entrato attraverso la VPN utilizzando credenziali già in circolazione nel dark web; il vettore iniziale non è stato accertato con certezza perché i log erano stati cancellati. All’interno della rete è stato creato un account amministrativo, da cui si è proceduto per movimenti laterali verso i controller di dominio, fino al gestionale e ai sistemi di backup. Un dispositivo di backup è stato riportato alle impostazioni di fabbrica, con perdita totale dei dati; il secondo ha consentito un ripristino, ma con dati risalenti a due mesi prima. Nel dicembre 2024 parte dei dati esfiltrati è stata pubblicata nel dark web, incluse categorie particolari di dati.
Il Garante ha contestato la violazione degli articoli 5, paragrafo 1, lettera f) e 32, paragrafi 1 e 2 del Regolamento, irrogando una sanzione di 120.000 euro.
Le cinque carenze contestate
È l’elenco che vale la pena confrontare con la propria situazione, perché nessuna di queste misure è esotica.
- Protezione debole contro il credential stuffing. Il blocco scattava dopo dieci tentativi falliti ma si riattivava automaticamente dopo cinque minuti: una politica che l’Autorità ha definito molto blanda.
- Autenticazione a più fattori parziale. Era attiva soltanto su alcuni profili della suite di produttività, e non su VPN, firewall e dispositivi di rete. È il punto decisivo del provvedimento.
- Segmentazione di rete insufficiente. I controller di dominio avevano accesso a tutte le VLAN, e questo rendeva aggirabile la rete dedicata ai backup.
- Backup non protetti. Mancava una copia offline o immutabile, e l’ultima copia utilizzabile risaliva a due mesi prima dell’incidente.
- Nessun processo formalizzato di gestione delle vulnerabilità.
La conclusione del Garante è la parte che più dovrebbe interessare chi dirige un’azienda: la violazione non era né imprevedibile né inevitabile, e misure ormai di uso comune — come l’autenticazione a più fattori sulla VPN — avrebbero verosimilmente impedito l’attacco. È il modo in cui l’articolo 32 viene applicato nella pratica: non si chiede la sicurezza assoluta, si chiede lo stato dell’arte ragionevolmente esigibile.
Data breach da ransomware: perché i rimedi successivi non bastano
La società sanzionata aveva comunicato tempestivamente l’accaduto a dipendenti, pubblico e titolari committenti, non aveva precedenti e ha cooperato con l’Autorità. Dopo l’incidente ha investito oltre 200.000 euro in misure correttive e ha conseguito la certificazione ISO/IEC 27001.
Questi elementi hanno pesato come attenuanti sulla quantificazione della sanzione. Non hanno modificato l’accertamento della violazione. È una distinzione che vale la pena fissare: nel sistema del Regolamento ciò che si fa dopo riduce l’importo, ciò che si aveva prima decide se c’è stata violazione.
Il precedente più pesante del 2026
Lo stesso schema argomentativo si ritrova nella sanzione di 1.715.600 euro irrogata nel maggio 2026 a un operatore di telecomunicazioni. In quel caso non c’era alcun ransomware: alcuni soggetti si erano finti tecnici dell’assistenza e avevano convinto gli addetti di due punti vendita a consentire l’accesso ai sistemi, sottraendo dati anagrafici e di contatto di oltre 365.000 clienti e, per oltre 41.000 di essi, anche i metodi di pagamento. Le contestazioni hanno riguardato la gestione delle credenziali e dei certificati digitali e l’inefficacia delle verifiche di sicurezza, che non avevano rilevato le vulnerabilità.
Il filo comune è evidente: in entrambi i provvedimenti l’Autorità non si è fermata alla notizia dell’attacco, ma ha ricostruito l’assetto organizzativo che lo ha reso possibile. Il tema è approfondito anche nell’articolo sulle misure di sicurezza dell’articolo 32 e le sanzioni del 2026.
La notifica apre un fascicolo, non lo chiude
Molte aziende affrontano la notifica della violazione come l’adempimento conclusivo: si comunica entro settantadue ore e la pratica è archiviata. I provvedimenti dicono l’opposto. La notifica è il documento con cui il titolare mette per iscritto che cosa è accaduto, e da quel testo l’Autorità ricava le domande successive su misure, log, backup, fornitori e tempi di ripristino.
Significa che la notifica va redatta sapendo che sarà letta come atto istruttorio, e non come adempimento formale. Il punto è trattato nell’approfondimento su che cosa il Garante contesta dopo la notifica di data breach.
La verifica che conviene fare adesso
Senza entrare nel dettaglio tecnico, la domanda utile per chi guida un’impresa è se sia in grado di dare oggi una risposta documentata a quattro questioni: dove sono attivi i fattori di autenticazione aggiuntivi e dove non lo sono; quanto indietro va l’ultima copia di backup effettivamente ripristinabile e se esista una copia che un attaccante non possa raggiungere; per quanto tempo sono conservati i log e se qualcuno li guardi; chi risponde, e in quale ruolo, per i sistemi gestiti da fornitori esterni.
Se una di queste risposte non è disponibile, la carenza esiste già, indipendentemente dal fatto che un incidente sia avvenuto. È esattamente la situazione che i provvedimenti del 2026 hanno qualificato come violazione dell’articolo 32.
Lo studio, con sede a Napoli e attività in tutta Italia, assiste aziende ed enti nella gestione delle violazioni dei dati personali e nei procedimenti che ne derivano, in raccordo con i referenti tecnici: l’ambito è descritto nella pagina sui pacchetti di consulenza privacy. Chi ha subito un incidente o ha già effettuato la notifica può chiedere dalla pagina dei contatti un esame preliminare della documentazione e dei termini. Per i profili amministrativi collegati il riferimento è lo studio legale dell’avv. Elio Errichiello.
Avv. Elio Errichiello
