Cosa è successo

Il Ministero della Giustizia britannico ha pubblicato il 14 ottobre 2026 un aggiornamento sull'attacco informatico alla Legal Aid Agency (LAA), l'ente che gestisce il patrocinio a spese dello Stato in Inghilterra e Galles. L'intrusione era stata identificata il 23 aprile 2025; il 16 maggio 2025 era stato accertato che un gruppo criminale aveva sottratto una quantità significativa di dati personali. Il nuovo aggiornamento dice che la violazione è più ampia di quanto stimato finora.

L'elemento nuovo riguarda l'arco temporale. In origine l'agenzia aveva parlato di dati dal 2007 in poi. Ora il governo riconosce che circa 250.000 record risalgono a prima del 2007, per lo più agli anni Novanta e Duemila, con il caso verificato più antico datato 1978. Il governo precisa che 250.000 è il numero di record, non il numero confermato di persone coinvolte, e che la presenza di dati storici non significa che tutti i richiedenti precedenti al 2007 siano interessati.

Le categorie di dati variano molto da persona a persona e non tutti gli interessati hanno perso tutte le informazioni elencate. Tra quelle indicate dall'aggiornamento ufficiale figurano:

  • dati identificativi e di contatto di richiedenti e beneficiari del patrocinio civile (nome, data di nascita, numero di assicurazione nazionale, codice postale);
  • informazioni sul patrocinio penale e, per alcuni procedimenti davanti alla Crown Court, dati su reddito, patrimonio, reati contestati, dichiarazioni di colpevolezza e condanne;
  • dati finanziari e di pagamento, in alcuni casi dati parziali di carte, oltre ai dati bancari dei fornitori di servizi legali;
  • dati di giudici, avvocati e stenografi coinvolti in udienze penali;
  • per un numero più ridotto di persone sottoposte a libertà vigilata tra il 2010 e il 2017, nome, data di nascita, nazionalità e numero di pratica.

Il governo afferma di non avere indicazioni che i dati siano stati pubblicati o condivisi. Gli autori non sono identificati nelle fonti consultate. L'autorità britannica per la protezione dei dati, secondo la pagina ufficiale, è stata informata e il dialogo prosegue; non risultano al momento provvedimenti o sanzioni. Tra le misure dichiarate: autenticazione e controlli di accesso rafforzati, monitoraggio migliorato, correzione delle vulnerabilità, dismissione o isolamento dei sistemi a più alto rischio e modernizzazione dei sistemi legacy. Non è stato spiegato perché record risalenti agli anni Settanta fossero ancora accessibili nei sistemi.

Perché è un caso istruttivo: la scoperta "a rate"

Questo è il tipo di incidente che chi si occupa di risposta alle violazioni conosce bene: la stima iniziale dell'impatto si rivela insufficiente. Sono passati circa diciassette mesi dall'intrusione e il perimetro dei dati compromessi è ancora in revisione. Le ragioni tipiche sono sempre le stesse: sistemi legacy con archivi non catalogati, copie di dati in posti non previsti (esportazioni, allegati, repository di appoggio), log insufficienti per ricostruire con certezza cosa sia stato letto e cosa no.

Il secondo insegnamento riguarda la conservazione. Dati di patrocinio legale risalenti al 1978 sono un esempio estremo di ciò che il GDPR chiama limitazione della conservazione: se un dato non serve più, ogni anno in cui resta online è un anno di esposizione aggiuntiva senza alcun beneficio. In un attacco, i dati vecchi pesano quanto quelli nuovi, perché identità, codici fiscali o equivalenti, indirizzi e storie giudiziarie non "scadono".

Cosa significa per le aziende e la PA italiane

Il contesto è britannico, ma le somiglianze con molte realtà italiane sono evidenti: enti pubblici, studi professionali, ordini, aziende sanitarie e imprese con decenni di pratiche archiviate in gestionali datati, con retention policy scritte ma non applicate tecnicamente. Per queste organizzazioni il caso LAA suggerisce tre riflessioni concrete.

1. Il registro dei trattamenti deve parlare di tempi di conservazione reali. L'art. 5, par. 1, lett. e) del GDPR richiede che i dati siano conservati per il tempo necessario alle finalità. Il registro ex art. 30 con la colonna "termine di cancellazione" compilata, ma mai eseguita, è un rischio sia sanzionatorio sia operativo: in caso di violazione, il numero di interessati da notificare cresce con l'anzianità dell'archivio.

2. I dati giudiziari richiedono un'attenzione particolare. Il GDPR (art. 10) e il Codice privacy prevedono garanzie specifiche per i dati relativi a condanne penali e reati. Un'eventuale violazione che li riguardi aumenta la probabilità che il rischio per gli interessati sia elevato e, quindi, che sia necessaria anche la comunicazione agli interessati ai sensi dell'art. 34, oltre alla notifica al Garante entro 72 ore dalla conoscenza dell'incidente.

3. La valutazione dell'impatto non si chiude il primo giorno. Dopo una violazione, il titolare deve documentare le circostanze, gli effetti e i rimedi (art. 33, par. 5) e, se emergono nuovi elementi, può essere necessario integrare la notifica. Il caso LAA mostra quanto sia realistico che la portata cresca nel tempo: conviene prevedere nel piano di risposta agli incidenti un meccanismo formale di revisione del perimetro, con responsabile, scadenze e criteri per aggiornare Garante e interessati.

Per i soggetti NIS2 si aggiunge il tema della gestione degli asset e dei sistemi legacy, che l'analisi del rischio dovrebbe già includere: un sistema che nessuno vuole toccare ma che contiene dati sensibili è la definizione di rischio concentrato.

Cosa fare subito

  • Mappare gli archivi storici: individuare dove risiedono dati più vecchi di dieci, venti, trent'anni (gestionali, share di rete, backup, caselle e-mail, repository documentali) e chi ne è responsabile.
  • Applicare davvero la retention: per ogni categoria di dati, decidere con il DPO il termine massimo e programmare la cancellazione o l'anonimizzazione tecnica, non solo la regola scritta.
  • Segregare o isolare i sistemi legacy che non si possono dismettere: nessuna esposizione diretta a internet, accessi tramite bastion host con MFA, segmentazione di rete.
  • Rafforzare autenticazione e log: MFA per tutti gli accessi amministrativi e remoti; log conservati abbastanza a lungo da ricostruire cosa è stato letto in caso di incidente.
  • Ridurre il dato alla fonte: per i dati giudiziari e finanziari valutare pseudonimizzazione o cifratura a livello di campo, così che una compromissione del sistema non esponga tutto in chiaro.
  • Aggiornare il piano di risposta alle violazioni: prevedere esplicitamente l'integrazione successiva della notifica al Garante e la comunicazione progressiva agli interessati quando la portata cambia.
  • Se si tratta dati di cittadini britannici o si hanno rapporti con fornitori nel Regno Unito, verificare che i contratti prevedano obblighi di notifica tempestiva in caso di incidente.

In sintesi

L'aggiornamento della Legal Aid Agency non rivela una nuova tecnica d'attacco: rivela quanto costi, in termini di trasparenza e di fiducia, non sapere esattamente quali dati si custodiscono e per quanto tempo. È una lezione utile per chiunque gestisca archivi pluridecennali, e il momento giusto per verificarla è prima di un incidente, non diciassette mesi dopo.