Violazione di dati alla CTS di Strasburgo: circa 230.000 account clienti coinvolti. Cosa deve fare l'azienda, cosa aspettarsi dopo una fuga di dati e come evitare il phishing

Cosa è successo

Il 28 ottobre la Compagnie des transports strasbourgeois (CTS), che gestisce i tram e gli autobus di Strasburgo, ha annunciato una violazione di dati. Secondo l'azienda, i dati di circa 230.000 account clienti sono stati estratti tramite un uso illecito del suo sito web — circa quattro su dieci dei suoi circa 586.000 account.

Cosa è stato sottratto, secondo la CTS: cognome e nome, data di nascita, indirizzo e identificativi dell'account. L'azienda afferma che dati bancari e password non figuravano tra questi. La CTS dichiara di aver interrotto l'estrazione non appena l'ha rilevata, di aver rafforzato la sicurezza del proprio sito web, di aver segnalato l'incidente alla CNIL, di aver informato i clienti interessati e di avere intenzione di presentare denuncia. Non è stato reso noto quando sia avvenuta l'intrusione né quanto sia durata.

La stessa CTS invita i clienti a diffidare delle email che dichiarano di provenire dalla CTS e che richiedono qualsiasi informazione, in particolare dati bancari.

Perché «nessun dato bancario» non significa «nessun rischio»

Un nome, una data di nascita e un indirizzo non bastano da soli a svuotare un conto bancario. Ma rendono più convincente un messaggio fraudolento: un'email che saluta qualcuno per nome e cita il suo indirizzo è più facile da ritenere affidabile. Per questo la CTS chiede di trattare con sospetto le email inviate a suo nome.

Cosa richiedono le norme all'azienda

Secondo le indicazioni della CNIL sul GDPR (RGPD in francese), un'organizzazione che subisce una violazione di dati personali:

• deve notificarla alla CNIL entro 72 ore dal momento in cui ne viene a conoscenza;
• se il rischio per le persone è elevato, deve informare direttamente tali persone il prima possibile;
• deve spiegare in quel messaggio, in termini chiari, cosa è successo, le probabili conseguenze, a chi rivolgersi (il DPO o un altro referente) e cosa è stato fatto per limitare il danno — e, se necessario, fornire raccomandazioni come il cambio delle password.

Da ricordare: un avviso di violazione, come lo descrive la CNIL, spiega e consiglia. Non chiede di rispondere indicando il numero della propria carta.

Cosa possono fare i clienti della CTS — e chiunque dopo una fuga di dati

Raccomandazioni di Cybermalveillance.gouv.fr e della CNIL:

1. Non fare nulla con i messaggi sospetti. Non cliccare sui link, non aprire gli allegati, non rispondere. In caso di dubbio, contattare direttamente l'organizzazione tramite un sito web che non si sia raggiunto dal messaggio (idealmente dal proprio segnalibro).
2. Controllare i link e gli indirizzi web. Passare il cursore su un link senza cliccare; controllare l'indirizzo del sito — un solo carattere modificato può tradire un falso. Le organizzazioni legittime non chiedono dati bancari o password per email o per telefono.
3. Password. La CNIL consiglia di cambiare le password, a partire dai servizi più importanti, di non riutilizzare la stessa password su più siti e di attivare l'autenticazione a più fattori dove disponibile.
4. Segnalare le frodi. Le email sospette vanno a signal-spam.fr, i messaggi di testo sospetti al 33700, i siti web falsi a phishing-initiative.fr.

Se si è già cliccato o si sono consegnati dei dati

Secondo Cybermalveillance.gouv.fr:

• se si sono forniti i dati della carta o si notano addebiti non riconosciuti, fare subito opposizione presso la propria banca;
• cambiare le password sul sito interessato e ovunque sia stata usata la stessa password; controllare la data dell'ultimo accesso all'account;
• conservare le prove, soprattutto il messaggio fraudolento stesso;
• presentare una denuncia (plainte) presso un commissariato di polizia o una gendarmeria, oppure per iscritto al procuratore della Repubblica; l'assistenza gratuita alle vittime è offerta da France Victimes al 116 006 (tutti i giorni, 9:00–19:00), e la consulenza di Info Escroqueries al 0 805 805 817 (gratuito, dal lunedì al venerdì, 9:00–18:30).

In caso di furto di identità (usurpation d'identité), la CNIL consiglia di presentare denuncia il più rapidamente possibile e, una volta confermato il furto, di chiedere alla CNIL una verifica del registro dei conti bancari FICOBA.

Sul risarcimento

La CNIL afferma chiaramente di non concedere risarcimenti: la richiesta di danni spetta ai tribunali civili.

In breve

La violazione della CTS non è un motivo per farsi prendere dal panico, ma è un motivo per prestare maggiore attenzione a email e messaggi di testo nelle prossime settimane. Qualsiasi messaggio «della CTS», «della banca» o «di un ente pubblico» che chieda di confermare dei dati è meglio verificarlo tramite il sito ufficiale, aperto in modo indipendente.