Atacatori cibernetici au obținut acces la datele personale a peste 300.000 de persoane folosind tehnici de inginerie socială. Aceștia s-au prezentat drept angajați ai serviciului de suport tehnic și au reușit să convingă utilizatorii să divulge informații sensibile sau să permită accesul la conturile lor.
Autoritatea italiană pentru protecția datelor a constatat că operatorul de telefonie nu a implementat măsuri de securitate și controale adecvate pentru prevenirea și detectarea fraudelor, ceea ce a contribuit la amploarea incidentului. Din acest motiv, compania a fost sancționată cu o amendă de 17 milioane de euro.
Principalele lecții GDPR evidențiate de caz:
- Organizațiile trebuie să implementeze măsuri tehnice și organizatorice adecvate pentru protejarea datelor personale.
- Este necesară monitorizarea și detectarea tentativelor de fraudă și a accesărilor neautorizate.
- Instruirea utilizatorilor și a personalului privind atacurile de tip phishing și impersonare este esențială.
- Nerespectarea obligațiilor de securitate poate conduce la sancțiuni financiare foarte mari și la afectarea reputației companiei.
Concluzie: cazul demonstrează că atacurile bazate pe inginerie socială rămân o amenințare majoră, iar operatorii care gestionează date personale trebuie să adopte controale de securitate robuste pentru a preveni accesul neautorizat și pentru a respecta cerințele GDPR.