Wind Tre, 1,7 milioni dal Garante: quando la falla non è un exploit ma un operatore convinto al telefono

Un approfondimento, non l'attacco del giorno

Questo pezzo non racconta una nuova intrusione tecnica: racconta un provvedimento e cosa insegna. Il 16 luglio 2026 il Garante per la protezione dei dati personali ha reso nota una sanzione a Wind Tre. La cifra — 1.715.600 euro — fa notizia da sola, ma la parte che vale la pena leggere è perché è stata comminata, perché smonta un'idea comoda: che le violazioni dei dati siano soprattutto un problema di firewall.

Cosa è successo, secondo l'Autorità

Il procedimento nasce da due data breach notificati dall'azienda stessa nel febbraio 2025. Secondo la ricostruzione del Garante, gli attaccanti si sono finti personale dell'assistenza tecnica e hanno convinto gli operatori di due punti vendita a consentire l'accesso ai sistemi aziendali. Da lì hanno estratto dati personali e di contatto dei clienti.

La portata: dati personali di oltre 365.000 clienti. Per 41.359 di questi, l'esfiltrazione ha riguardato anche informazioni sui metodi di pagamento — secondo quanto riportato, bollettini postali, IBAN, numeri di carta (parzialmente oscurati) e date di scadenza. Il Garante ha ritenuto che alla base ci fossero gravi carenze nella sicurezza dei sistemi: non solo l'inganno riuscito, ma le condizioni che lo hanno reso possibile e produttivo.

Perché è un caso da manuale

Perché rovescia il luogo comune. Non c'è, al centro, una CVE o un malware sofisticato: c'è ingegneria sociale applicata al punto più umano della catena — un operatore in negozio, sotto pressione, che riceve una richiesta apparentemente legittima da un «collega tecnico». È lo stesso schema che, in altre vesti, apre le intrusioni ransomware: l'accesso non si trova, si ottiene chiedendolo bene.

La sanzione, però, non punisce l'operatore ingannato. Punisce l'organizzazione per non aver messo in piedi le difese che avrebbero contenuto il danno: controlli sull'accesso ai sistemi dai punti vendita, procedure di verifica dell'identità di chi chiede assistenza, limiti su quanti dati un singolo accesso può toccare. È la differenza fra dare la colpa alla persona e progettare un sistema che regge anche quando una persona sbaglia.

Cosa se ne porta a casa un'azienda

Tre cose, tutte a costo contenuto rispetto a 1,7 milioni. La prima è verificare chi chiede: una procedura di call-back o di conferma su canale indipendente prima di concedere accessi «all'assistenza» taglia via la maggior parte di questi attacchi. La seconda è la minimizzazione dell'accesso: se un terminale di punto vendita non ha bisogno di poter estrarre in blocco i dati di 365.000 clienti, non deve poterlo fare — il danno di un singolo inganno si misura da quanto quell'inganno riesce a raggiungere. La terza è la notifica: Wind Tre ha notificato i breach, come impone il GDPR entro 72 ore dalla scoperta; è l'atto dovuto, e averlo fatto è parte del come si gestisce, non del cosa si sbaglia.

Per i dettagli giuridici — base della sanzione, articoli contestati, prescrizioni — il riferimento è il provvedimento del Garante, richiamato nella newsletter del 16 luglio 2026. Qui il punto resta uno: la sicurezza dei dati personali si gioca sulle procedure verificabili quanto sulla tecnologia, e un'organizzazione risponde delle une e dell'altra.