Il Garante per la protezione dei dati personali ha inflitto a Wind Tre S.p.A. una sanzione di 1.715.600 euro per gravi carenze nella sicurezza dei sistemi aziendali. Quelle carenze hanno consentito due accessi abusivi e l'esfiltrazione dei dati personali di oltre 365mila clienti. Il provvedimento, adottato il 14 maggio 2026 e reso noto con la newsletter del Garante del 16 luglio, è interessante non tanto per l'importo quanto per come è avvenuto l'attacco: nessuna vulnerabilità sofisticata, ma un classico inganno umano.

I fatti

Gli attaccanti si sono finti tecnici dell'assistenza e hanno convinto gli operatori di due punti vendita a consentire l'accesso ai sistemi aziendali. Una volta dentro, hanno esfiltrato i dati anagrafici e di contatto della clientela. Per 41.359 clienti il furto ha riguardato anche le informazioni sui metodi di pagamento: bollettino postale, IBAN, numero di carta di credito parzialmente oscurato e data di scadenza. L'istruttoria era partita dai due data breach che la stessa società aveva notificato nel febbraio 2025.

Nel merito, il Garante ha contestato carenze nella gestione delle credenziali di accesso e dei certificati digitali e ha rilevato che le verifiche di sicurezza svolte dall'azienda non avevano individuato vulnerabilità che sarebbero emerse con controlli più approfonditi. Da qui l'accertata violazione dei principi di integrità e riservatezza dei dati (art. 5 GDPR) e degli obblighi di sicurezza (art. 32 GDPR). L'Autorità ha ordinato a Wind Tre di rafforzare la protezione di credenziali e certificati digitali, di introdurre strumenti sicuri per la gestione delle password e di migliorare le procedure di sicurezza. Nel calcolare la sanzione ha pesato a favore della società la tempestiva notifica dell'incidente, le misure correttive adottate e la collaborazione durante l'istruttoria.

L'anello debole erano le persone (e le credenziali)

Il dettaglio più istruttivo del caso è che il perimetro non è stato bucato con un exploit, ma con una telefonata o un contatto ben congegnato. Il social engineering ha aggirato in un colpo solo firewall, antivirus e patch: è bastato spacciarsi per un collega tecnico e sfruttare la disponibilità di un operatore di negozio. È lo scenario più difficile da difendere, perché non dipende da un software da aggiornare ma dal comportamento di persone che, spesso, non fanno parte del reparto IT e non hanno ricevuto formazione specifica sulle frodi.

C'è però una seconda lezione, più tecnica, che il Garante mette nero su bianco: se anche l'inganno fosse riuscito, una gestione rigorosa di credenziali e certificati avrebbe limitato i danni. Autenticazione a più fattori sugli accessi dei punti vendita, privilegi minimi, credenziali non condivise e certificati ben governati sono le barriere che trasformano un accesso illecito in un vicolo cieco anziché in una miniera di dati. Non è un tema astratto: la corretta gestione dei certificati digitali è la stessa che, sul versante delle vulnerabilità tecniche, torna in casi come Certighost su Active Directory. Che l'attacco arrivi da un finto tecnico o da un exploit, il punto debole è lo stesso: chi controlla identità e certificati controlla i dati.

Cosa significa per le aziende italiane

Wind Tre è un grande operatore, ma il meccanismo dell'attacco è replicabile in qualunque realtà con una rete di negozi, dealer o partner che accedono ai sistemi centrali: telco, retail, assicurazioni, utility, catene in franchising. Ogni punto vendita è, a tutti gli effetti, un'estensione della superficie d'attacco aziendale, spesso con controlli di sicurezza più deboli della sede. È un rischio di terze parti e di filiera umana che le PMI tendono a sottovalutare, concentrando gli investimenti sul perimetro tecnologico e lasciando scoperto l'anello dei collaboratori esterni.

Va letta con attenzione anche la logica della sanzione. L'importo — pur significativo — è stato contenuto proprio dai comportamenti virtuosi dopo l'incidente: notificare per tempo, rimediare e collaborare con l'Autorità conviene anche economicamente, oltre a essere un obbligo. È il segnale che il Garante premia chi gestisce l'incidente in modo maturo e punisce soprattutto le carenze strutturali e l'opacità.

Il contesto normativo

Il provvedimento si fonda sugli articoli 5, paragrafo 1, lettera f) (integrità e riservatezza) e 32 (sicurezza del trattamento) del GDPR: misure tecniche e organizzative adeguate al rischio, che includono gestione degli accessi, delle credenziali e dei certificati. In quanto fornitore di servizi di comunicazione elettronica accessibili al pubblico, un operatore telefonico è inoltre soggetto a obblighi rafforzati di notifica delle violazioni di dati personali, con tempistiche stringenti verso il Garante. Per tutte le altre aziende resta valida la regola generale della notifica entro 72 ore dalla conoscenza della violazione (art. 33) e della comunicazione agli interessati quando il rischio per i loro diritti è elevato (art. 34) — passaggi che, come mostra questo caso, incidono anche sull'entità dell'eventuale sanzione.

Cosa fare subito

  • Formare il personale di front-line (negozi, call center, assistenza) a riconoscere i tentativi di social engineering: nessun "tecnico" legittimo chiede di farsi aprire un accesso ai sistemi in modo estemporaneo.
  • Definire procedure di verifica dell'identità per ogni richiesta di accesso o assistenza, con canali e codici di conferma indipendenti.
  • Attivare l'autenticazione a più fattori (MFA) su tutti gli accessi, in particolare quelli di dealer, punti vendita e partner esterni.
  • Applicare il principio del privilegio minimo e segmentare gli accessi: un operatore di negozio non deve poter esfiltrare l'anagrafica dell'intera clientela.
  • Adottare gestori di credenziali e vault sicuri, eliminando password condivise e presidiando il ciclo di vita dei certificati digitali.
  • Programmare verifiche di sicurezza approfondite (penetration test, non solo scansioni superficiali) e attivare il monitoraggio degli accessi anomali per intercettare l'esfiltrazione in corso.
  • Tenere pronte le procedure di notifica al Garante e agli interessati: la tempestività, come ricorda questo caso, riduce l'impatto anche sanzionatorio.

Il caso Wind Tre conferma una verità scomoda della cybersecurity: si può investire molto in tecnologia e farsi comunque scavalcare da una conversazione ben recitata. La sicurezza delle informazioni si gioca tanto sulle patch quanto sulla consapevolezza di chi, ogni giorno, ha in mano le chiavi dei sistemi.