Dopo anni di GDPR e di tentativi di fare educazione alla protezione dei dati, succedono ancora cose come questa: sto ricevendo segnalazioni multiple di un sito italiano che raccoglie prenotazioni per servizi di comuni e di strutture ospedaliere e espone pubblicamente tutti i dati di chi lo usa.

I dati sono accessibili semplicemente usando un qualunque browser e visitando un indirizzo Web estremamente banale: non servono login, password o altro. Comodamente ripartiti per Comune o ente ospedaliero, si trovano nomi, cognomi, luoghi di nascita, date di nascita, codici fiscali, date e orari di prenotazione e relative motivazioni. Ci sono anche prenotazioni di "procedure sanzionatorie" di almeno una polizia municipale.

Per ovvie ragioni di responsible disclosure per ora non posso pubblicare il nome del sito, mostrare screenshot o citare testualmente i contenuti mandati a spasso. Posso solo dire che i servizi sanitari e comunali coinvolti sono decine, che i dati degli utenti messi in pubblico sono centinaia e che il sito è gestito da una Srl della zona di Torino.

Sarebbe assolutamente banale, per un truffatore o un vandalo, telefonare al signor Claudio che si è rivolto a questo sito per prenotare un servizio presso il Comune di Vittorio Veneto e dirgli che il suo appuntamento è stato annullato oppure che c'è una tassa da pagare anticipatamente. Il truffatore avrebbe tutti i dati necessari per sembrare estremamente credibile e quindi farsi pagare l'inesistente tassa tramite carta di credito. Anche i truffatori che usano la tecnica del "falso nipote" farebbero indigestione con questi dati. E posso solo immaginare i danni e i disagi che si potrebbero causare ad Alessia, per esempio telefonandole e dicendo che c'è un problema serio con il verbale di polizia numero 503*****/2022/R che la riguarda.

Per approfondire:

Centomila messaggi WhatsApp a spasso

BlueBleed, a spasso i dati privati di oltre 150.000 organizzazioni

Dati a spasso nel cloud

Auto Hyundai “hackerata”

"Se vuoi informarti su come trattiamo i tuoi dati clicca qui", dice il sito (ho cambiato alcune parole per evitare di facilitarne l'identificazione), linkando la propria privacy policy. Purtroppo so già benissimo come vengono trattati, e potrei descriverlo con parole forse poco tecniche ma sicuramente molto colorite e concise. Ma questo è un blog per famiglie e quindi mi trattengo.

Ho inviato immediatamente una PEC al DPO del sito, mettendo in copia il Garante per la Privacy italiano (protocollo(chiocciola)pec.gpdp.it), come suggerito qui e come indicato nella sua pagina dei contatti.

Per approfondire:

Come fanno i truffatori a rubare soldi dai conti correnti?

Allora, i messaggi di WhatsApp sono cifrati e privati o no?

La seduttrice informatica assetata di bitcoin

Stuxnet, il virus informatico più distruttivo della storia

Oggetto: Dati personali pubblicamente accessibili

Buongiorno, sono un giornalista informatico collaboratore della Radiotelevisione Svizzera.

Mi arrivano segnalazioni multiple di dati sensibili di utenti che sono pubblicamente accessibili a chiunque con una semplice consultazione via Web sul sito [***omissis***]. Presumo quindi che la falla sia ormai nota e circolante.

URL: [***omissis***]

Allego campione in coda a questa mail.

Per qualunque chiarimento potete telefonarmi al mio numero diretto [***omissis***].

Cordiali saluti

Paolo Attivissimo

[***campione di dati omesso***]

La mia PEC di avviso è stata spedita oggi alle 16:56 italiane ed è stata regolarmente consegnata alla casella di destinazione del Garante; non ho conferme di consegna all'indirizzo mail del DPO, che è una casella di mail normale (non PEC).

Vediamo cosa succede. Intanto ringrazio le persone che mi hanno segnalato il problema. Se a qualcuno dovesse servire, la modulistica per reclami e segnalazioni presso il Garante italiano è qui; la relativa scheda informativa è invece qui.

Non perderti anche:

Bancomat violabili usando semplicemente uno smartphone

Nuova tecnica contro il ransomware: ingannare il sistema di pagamento

Cose da non fare in videoconferenza: guidare e fingere di essere in ufficio

Il disastro tragicomico di Parler

Aggiornamento. Ieri ho ricevuto dai gestori del sito una mail nella quale mi hanno comunicato di aver corretto la falla e di essersi attivati per la segnalazione del data breach al Garante e per tutte le comunicazioni opportune. In effetti a un primo controllo non sembrano esserci dati personali visibili.

Leggi anche:

Ho-mobile ammette la violazione dei dati dei clienti

Ho-mobile, rischio sicurezza per due milioni e mezzo di utenti

Campari colpita da un attacco ransomware

Le parole di Internet: smishing