Un attacco informatico di proporzioni massicce ha colpito il cuore gestionale di Casa Livorno e Provincia S.p.A. (Casalp), la società che si occupa della gestione degli alloggi di edilizia residenziale pubblica sul territorio labronico. I sospetti emersi lo scorso 22 maggio hanno trovato conferma nei giorni scorsi:gli hacker sono riusciti a penetrare nei server protetti e a esfiltrare un’immensa mole di dati personali, economici e sanitari sensibili degli utenti.
L’azienda, in qualità di Titolare del trattamento, ha attivato la procedura d’urgenza prevista dall’articolo 34 del GDPR (il Regolamento Europeo sulla Protezione dei Dati), inviando una comunicazione formale per avvisare la cittadinanza coinvolta del gravissimo pericolo di furto d’identità e truffe finanziarie.
La violazione ha avuto inizio lo scorso 11 maggio, quando i tecnici informatici di Casalp hanno rilevato l’intrusione di un ransomware, un virus altamente distruttivo che cripta i file aziendali rendendoli inaccessibili e tenendo di fatto in ostaggio i sistemi per scopi di riscatto.
I successivi e approfonditi accertamenti digitali condotti da un team di specialisti hanno purtroppo confermato lo scenario peggiore: prima di bloccare le macchine, i pirati informatici hanno violato la riservatezza degli archivi, riuscendo ad acquisire e copiare illegalmente interi faldoni di documenti riservati degli assegnatari e degli utenti dei servizi.
La lista del materiale esfiltrato dai server e ora in possesso di soggetti esterni non autorizzati è spaventosamente dettagliata. La violazione include:dati anagrafici e di contatto; dati economici e patrimoniali come IBAN, ISEE e DSU; informazioni private; dati particolari, fra cui informazioni sullo stato di salute degli utenti e dati relativi a procedure giudiziarie, catalogati dall’ente nel corso dei controlli d’ufficio previsti dalla legge.
Casalp ha avvertito che la combinazione dei dati rubati espone gli utenti al rischio concreto di frodi bancarie, phishing mirato, furti d’identità e danni reputazionali.
Nel frattempo, Casalp ha provveduto a notificare ufficialmente il data breach all’Autorità Garante per la Protezione dei Dati Personali e ha implementato nuove misure tecniche restrittive per blindare l’infrastruttura di rete.
