Il Garante per la protezione dei dati personali ha sanzionato con 120.000 euro una società di ingegneria e consulenza per un attacco ransomware subìto nell'ottobre 2024. Il provvedimento (n. 529 del 14 luglio 2026, reso noto nei giorni scorsi dai commenti degli addetti ai lavori) è interessante non per la cifra, ma per il ragionamento: l'Autorità ha elencato con precisione quali misure, ormai considerate di uso comune, avrebbero con ogni probabilità fermato l'attacco. È, di fatto, una checklist di sicurezza scritta da un regolatore.

Cosa è successo

Secondo le ricostruzioni di 01magazine, Global Com Technologies e Data Protection Law, che commentano la decisione senza averne il testo integrale tra le mani del lettore, tra l'8 e il 9 ottobre 2024 la società ha subìto un attacco attribuito al gruppo BlackBasta. La società era titolare del trattamento per i propri dipendenti e responsabile del trattamento per oltre 1.200 clienti, in prevalenza imprese private e alcune pubbliche amministrazioni.

La via d'ingresso più probabile è stata un accesso alla VPN aziendale con credenziali già circolanti in fughe di dati dell'agosto e settembre 2024. Il primo accesso non ha potuto essere accertato con certezza perché i log erano mancanti o cancellati. Dentro la rete, gli attaccanti hanno creato un account amministrativo su un domain controller, si sono mossi lateralmente verso il controller principale, hanno raggiunto il sistema di gestione dell'infrastruttura e poi i backup: un NAS è stato riportato alle impostazioni di fabbrica, l'altro è stato in parte danneggiato e consentiva di ripristinare solo dati risalenti a circa due mesi prima. A dicembre 2024 parte dei dati sottratti è comparsa sul dark web: documenti d'identità, coordinate bancarie, certificati del casellario giudiziale, certificati medici e informazioni che rivelano l'appartenenza sindacale.

Le carenze contestate

Il Garante ha contestato la violazione dell'art. 5, par. 1, lett. f) e dell'art. 32 del GDPR, indicando in particolare:

  • Autenticazione a più fattori limitata: attiva solo sugli account critici di Microsoft 365, non su VPN, firewall e apparati di rete.
  • Blocco degli account troppo debole: blocco dopo dieci tentativi falliti e riattivazione automatica dopo cinque minuti, giudicato "molto blando" contro il credential stuffing.
  • Nessun monitoraggio delle credenziali esposte in fughe di dati.
  • Gestione delle vulnerabilità parziale, manuale e non formalizzata.
  • Segmentazione insufficiente: i domain controller raggiungevano tutte le VLAN, compresa la rete dei backup.
  • Backup non protetti: nessuna copia offline o immutabile e nessun punto di ripristino recente.
  • Log assenti o non conservati fuori dal dominio di produzione.

Il passaggio chiave del ragionamento è che la violazione non era né imprevedibile né inevitabile: misure "ormai di uso comune", come l'autenticazione a più fattori sulla VPN, con ogni probabilità l'avrebbero impedita. Password complesse, blocchi temporanei e formazione del personale sono stati ritenuti, da soli, insufficienti per proteggere l'accesso a risorse critiche.

Tra le attenuanti l'Autorità ha considerato la tempestiva comunicazione agli interessati e ai clienti, l'assenza di precedenti e la collaborazione. Sono stati riconosciuti anche investimenti successivi superiori a 214.000 euro e la certificazione ISO/IEC 27001 ottenuta a dicembre 2025, ma sono serviti a graduare la sanzione, non a escludere la violazione: ciò che conta è la sicurezza presente al momento dell'attacco.

Cosa significa per le aziende italiane

Il caso è istruttivo per tre ragioni, soprattutto per PMI e fornitori di servizi.

La prima: lo standard di riferimento sale. Quando il Garante scrive che l'MFA sulla VPN è di uso comune, sta fissando il parametro con cui giudicherà i prossimi casi. Una VPN senza secondo fattore diventa difficile da difendere, anche se ogni altra misura è in ordine. Chi oggi la mantiene così non può più sostenere di non sapere.

La seconda: il fornitore è sotto la stessa lente del cliente. La società sanzionata era responsabile del trattamento per oltre mille clienti. Questo moltiplica l'impatto dell'incidente e il problema per chi si affida a un fornitore: dichiarazioni generiche di sicurezza non bastano. In un'ottica di vigilanza, titolari e responsabili vanno valutati con evidenze (MFA effettiva, backup resistenti al ransomware, gestione delle vulnerabilità), non con questionari compilati una volta l'anno. Il decisivo, poi, è che non tutti i clienti informati risultano aver notificato a loro volta la violazione: la notifica è un obbligo del titolare, e un responsabile che avvisa non lo solleva.

La terza: la notifica diventa il documento da cui parte l'istruttoria. La comunicazione di data breach al Garante, nei fatti, fa partire domande su controlli, log, backup e fornitori. Chi la compila deve sapere che ogni frase sarà confrontata con lo stato reale dei sistemi.

Sul piano normativo, per i soggetti NIS2, la cui scadenza di adeguamento è il 31 ottobre, le stesse misure (gestione degli accessi, MFA, backup, gestione delle vulnerabilità, segmentazione) rientrano tra le misure di gestione del rischio che ACN si attende di vedere documentate. Il provvedimento è, in questo senso, un anticipo concreto di come sarà valutata la conformità.

Cosa fare subito

  • Inventariare tutti gli accessi remoti (VPN, portali di amministrazione, accessi dei fornitori) e imporre l'MFA, partendo da dominio e backup.
  • Rivedere la policy di blocco degli account: dopo un blocco, lo sblocco deve richiedere una verifica e generare un alert al team di sicurezza, non scadere da solo in cinque minuti.
  • Controllare le credenziali esposte con servizi di leak monitoring e bloccare le password compromesse in fase di creazione e reset.
  • Segmentare partendo dal presupposto che l'attaccante abbia privilegi di dominio: livelli amministrativi separati, nessun accesso dei domain controller alla rete dei backup.
  • Avere almeno un backup offline o immutabile (regola 3-2-1) e testare il ripristino con esito documentato.
  • Formalizzare la gestione delle vulnerabilità: fonti, frequenza, criteri di priorità, tempi massimi di correzione ed eccezioni.
  • Centralizzare i log fuori dal dominio di produzione, con tempi di conservazione che coprano la permanenza tipica di un attaccante.
  • Per i fornitori: chiedere evidenze, non autodichiarazioni, e prevedere nel contratto obblighi di notifica tempestiva e dettagliata.

Valutazione

Il provvedimento non introduce obblighi nuovi: rende esplicito ciò che era già implicito nell'art. 32. Un'organizzazione può leggere questa sanzione in due modi: come un costo da 120.000 euro o come un elenco di sette controlli da verificare questa settimana. Il secondo approccio costa molto meno.