#1 Inviato 5 Gennaio, 2021 Il giorno 31/12 ricevo una serie di mail aventi per mittente il nominativo del mio amministratore e contenenti in allegato un file .zip criptato (password nella mail stessa). Insieme a queste, ricevo altre mail aventi mittente nome cognome indirizzo di miei vicini di condominio (NON amministratore) sempre contenenti il file .zip criptato. Si trattava ovviamente di mail fake, recanti nel file zip un virus trojan piuttosto pericoloso. Analoghi attacchi sono descritti in rete. Ad ogni modo, il giorno stesso contatto l'amministratore che mi conferma vagamente un attacco nella sua mail (costretto letteralmente a spegnere il PC ed a chiamare un tecnico). Dal canto mio, lo avviso che oltre a mail aventi come mittente il suo nominativo ne stavano circolando anche aventi nominativi di vicini, segno che qualcuno era entrato nei suoi archivi e stava inoltrando mail con dati a mio giudizio molto SENSIBILI. Si trattava di nome, cognome, indirizzo, cellulare. Mica roba da niente. Mi ridponde che di quest'ultimo aspetto avrebbe interessato il tecnico. Personalmente aspettavo un suo avviso o in bacheca o tramite mail (da altro account) ma purtroppo nulla. Sono stato io ad avvisare nel limite del possibile, gli altri condomini. Quello che domando è sostanzialmente questo: Non vi pare grave quello che è successo? Ovviamente attacchi hacker capitano a tutti (anche a grossi gruppi) però considerare l'accaduto come un fatto marginale mi pare molto riduttivo. Altresì, l'amministratore non avrebbe dovuto avvisare tempestivamente del fatto i condomini in modo che non aprissero i file? Non vi pare una negligenza abbastanza grave? È mio diritto avere una relazione tecnica su ciò che è successo e su come sono andate le cose onde sapere quali dati (e di chi) sono stati divulgati? Grazie mille
#2 Inviato 6 Gennaio, 2021 Stefano Mandini dice: segno che qualcuno era entrato nei suoi archivi e stava inoltrando mail con dati a mio giudizio molto SENSIBILI. Si trattava di nome, cognome, indirizzo, cellulare. Mica roba da niente beh iniziamo a dire che sono dati personali e non sensibili. comunque: Stefano Mandini dice: È mio diritto avere una relazione tecnica su ciò che è successo e su come sono andate le cose onde sapere quali dati (e di chi) sono stati divulgati? credo proprio di sì perché immagino che l'amministratore sia anche il responsabile del trattamento nel tuo condominio. ora, non mi farei tante illusioni se ha già chiamato il tecnico.
#3 Inviato 6 Gennaio, 2021 Stefano Mandini dice: Il giorno 31/12 ricevo una serie di mail aventi per mittente il nominativo del mio amministratore e contenenti in allegato un file .zip criptato (password nella mail stessa). Insieme a queste, ricevo altre mail aventi mittente nome cognome indirizzo di miei vicini di condominio (NON amministratore) sempre contenenti il file .zip criptato. Si trattava ovviamente di mail fake, recanti nel file zip un virus trojan piuttosto pericoloso. Analoghi attacchi sono descritti in rete. Ad ogni modo, il giorno stesso contatto l'amministratore che mi conferma vagamente un attacco nella sua mail (costretto letteralmente a spegnere il PC ed a chiamare un tecnico). Dal canto mio, lo avviso che oltre a mail aventi come mittente il suo nominativo ne stavano circolando anche aventi nominativi di vicini, segno che qualcuno era entrato nei suoi archivi e stava inoltrando mail con dati a mio giudizio molto SENSIBILI. Si trattava di nome, cognome, indirizzo, cellulare. Mica roba da niente. Mi ridponde che di quest'ultimo aspetto avrebbe interessato il tecnico. Personalmente aspettavo un suo avviso o in bacheca o tramite mail (da altro account) ma purtroppo nulla. Sono stato io ad avvisare nel limite del possibile, gli altri condomini. Quello che domando è sostanzialmente questo: Non vi pare grave quello che è successo? Ovviamente attacchi hacker capitano a tutti (anche a grossi gruppi) però considerare l'accaduto come un fatto marginale mi pare molto riduttivo. Altresì, l'amministratore non avrebbe dovuto avvisare tempestivamente del fatto i condomini in modo che non aprissero i file? Non vi pare una negligenza abbastanza grave? È mio diritto avere una relazione tecnica su ciò che è successo e su come sono andate le cose onde sapere quali dati (e di chi) sono stati divulgati? Grazie mille L'amministratore è responsabile del trattamento dei dati personali dei condomini ma difficilmente ha le competenze per evitare attacchi mirati. Per quanto riguarda gli indirizzi email, è abbastanza semplice ottenerli anche senza un vero e proprio attacco al PC dell'amministratore, se quest'ultimo ha la pessima abitudine di inviare email con gli indirizzi tutti in copia (CC o addirittura "TO") e non in copia nascosta (CCN); chiunque ricevesse queste email, avrebbe sul suo PC le email di tutti... per cui un virus nel PC di un condomino qualsiasi conoscerebbe le email di tutti, senza toccare quello dell'amministratore (il virus potrebbe usarli in modo automatico, senza l'intervento manuale dell'hacker). Per ottenere dati personali come il numero di cellulare, l'hacker ha dovuto probabilmente accedere agli archivi del software, aprirli (manualmente) ed estrarre i dati; non è difficile ma presuppone un attacco mirato o comunque supervisionato, non di tipo automatico. Diverso e molto preoccupante sarebbe il caso di un hacker (italiano) che abbia preso di mira gli amministratori che usano un determinato programma ed abbia così sviluppato un software che acceda automaticamente ai dati personali, per "spammarli" ovunque. Scrivo questo per far capire come la materia sia complessa, per cui l'amministratore, seppur responsabile, non debba essere necessariamente colpevolizzato, sempre che non abbia adottato misure ingenuamente pericolose (vedi email multiple non in copia nascosta, apertura "allegra" di allegati, ecc.).
#4 Inviato 6 Gennaio, 2021 La ringrazio per la completa ed esauriente risposta. Per quanto riguarda i risvolti tecnici del fatto non entro in discussione in quanto non sono esperto in materia. Non essendo a conoscenza di come sono andati veramente i fatti diventa difficile gettare croci addosso a qualcuno. In rete si trova qualcosa sull'argomento ed anche recente, inerente ad attacchi con un virus/trojan di nome EMOTET molto pericoloso che sfrutterebbe mail fake camuffare da "legittime" per riuscire nel suo intento. E chi più di un amministratore scambia, risponde, inoltra mail? Ad ogni modo la mia domanda è di ordine più pratico che tecnico e cioè: L'amministratore consapevole dell'attacco (e custode dei nostri dati personali) era tenuto ad avvisare i condomini del fatto o almeno tentare nel farlo? Io l'ho saputo poiché l'ho contattato ma nessuno nel condominio era al corrente di nulla. L'unica cosa che ha fatto è stata quella di lasciare inciso nel risponditore del mattino, un avviso di cancellazione mail aventi nominativo il suo studio. Stop. Nulla di più. Con lui mi ero reso disponibile a stampare ed affiggere in bacheca un suo avviso ma nulla.
#5 Inviato 6 Gennaio, 2021 Stefano Mandini dice: La ringrazio per la completa ed esauriente risposta. Per quanto riguarda i risvolti tecnici del fatto non entro in discussione in quanto non sono esperto in materia. Non essendo a conoscenza di come sono andati veramente i fatti diventa difficile gettare croci addosso a qualcuno. In rete si trova qualcosa sull'argomento ed anche recente, inerente ad attacchi con un virus/trojan di nome EMOTET molto pericoloso che sfrutterebbe mail fake camuffare da "legittime" per riuscire nel suo intento. E chi più di un amministratore scambia, risponde, inoltra mail? Ad ogni modo la mia domanda è di ordine più pratico che tecnico e cioè: L'amministratore consapevole dell'attacco (e custode dei nostri dati personali) era tenuto ad avvisare i condomini del fatto o almeno tentare nel farlo? Io l'ho saputo poiché l'ho contattato ma nessuno nel condominio era al corrente di nulla. L'unica cosa che ha fatto è stata quella di lasciare inciso nel risponditore del mattino, un avviso di cancellazione mail aventi nominativo il suo studio. Stop. Nulla di più. Con lui mi ero reso disponibile a stampare ed affiggere in bacheca un suo avviso ma nulla. Sì, era tenuto ad informare della violazione, non solo i condomini ma anche le autorità competenti (art.33 del GDPR).
#6 Inviato 6 Gennaio, 2021 Nei prossimi giorni gli manderò una mail. Ricapitolando: richiedo informazioni riguardanti l'attacco subito (in qualità di custode dei nostri dati personali) - cosa effettivamente è stato sottratto (mail, pec) e se ha provveduto a darne comunicazione alle competenti autorità. Delucidazioni che deve trasmettere a tutti i condomini OBBLIGATORIAMENTE secondo l'articolo da lei citato. Che ne dice?
#7 Inviato 7 Gennaio, 2021 Stefano Mandini dice: Nei prossimi giorni gli manderò una mail. Ricapitolando: richiedo informazioni riguardanti l'attacco subito (in qualità di custode dei nostri dati personali) - cosa effettivamente è stato sottratto (mail, pec) e se ha provveduto a darne comunicazione alle competenti autorità. Delucidazioni che deve trasmettere a tutti i condomini OBBLIGATORIAMENTE secondo l'articolo da lei citato. Che ne dice? Dimenticavo, segnali o ricordi all'amministratore questo link: https://servizi.gpdp.it/databreach/s/self-assessment Modificato 7 Gennaio, 2021 da stegemma 1
#8 Inviato 7 Gennaio, 2021 Grazie mille per i consigli. Vedremo il da farsi. Oggi l'ho contattato per farmi spiegare dettagliatamente come si sono svolte le cose. In pratica: Allo studio è arrivata una mail con trojan in file zip criptato in allegato. Purtroppo qualcuno l'ha maldestramente aperto diffondendo il virus. Oltre ad aver bloccato il suo PC (ramsonware) ha avuto accesso all'archivio di tutte le mail in outlook e nelle pec. Parrebbe non avesse intaccato gli allegati. Tutto qui. Nessun'altra delucidazione. Adesso vedremo se a livello condominiale si deciderà di andare avanti con altre azioni. Devo dire che a parte me e qualche altro condomino, parrebbe che la cosa sia di poca importanza. Della serie: visto che capita quasi a tutti allora è come che non capitasse a nessuno. Grazie mille
#9 Inviato 7 Gennaio, 2021 Stefano Mandini dice: Della serie: visto che capita quasi a tutti allora è come che non capitasse a nessuno. Nella botte piccola... c'è poco vino... e mal comune... danno per molti!
#10 Inviato 9 Febbraio, 2021 Mi scusi se le scrivo ancora sull'argomento a distanza di settimane. Solo per aggiornarla che l'avviso di non aprire mail con allegato file zip infetto ci è giunto dall'amministratore con 25 gg di ritardo dall'arrivo delle prime mail.
#11 Inviato 9 Febbraio, 2021 la buona novella è qui: https://www.theregister.com/2021/01/27/emotet_botnet_taken_down_europol/
#12 Inviato 9 Febbraio, 2021 Grazie. Ho cliccato il link. Eh! Abbastanza tosta la cosa. Però il mio interrogativo riguarda la tempistica dell'avviso che giudico inaccettabile. Potrebbe costituire un'irregolarita a livello legale questo ritardo di comunicazione?
#13 Inviato 9 Febbraio, 2021 Stefano Mandini dice: Grazie. Ho cliccato il link. Eh! Abbastanza tosta la cosa. Però il mio interrogativo riguarda la tempistica dell'avviso che giudico inaccettabile. Potrebbe costituire un'irregolarita a livello legale questo ritardo di comunicazione? Non potrebbe che abbia mandato la comunicazione quando si è reso conto del virus? Potrebbe essere una vittima inconsapevole o no?
#14 Inviato 9 Febbraio, 2021 Stefano Mandini dice: Potrebbe costituire un'irregolarita a livello legale questo ritardo di comunicazione? è sempre un dipende. la norma stabilisce che se c'è un pericolo per la persona nella divulgazione di quei dati allora l'obbligo di comunicazione all'autorità, altrimenti no... ma, per quanto ho capito è un obbligo che sorge nella catena di comando: il responsabile avverte il titolare e questi valuta (dunque comunica o meno la violazione se da questa c'è il rischio di un pregiudizio alle libertà personali). quindi sì: 25 giorni a me sembrano ingiustificati, ma si deve comprendere bene la tempistica e correttamente quando il responsabile è venuto a conoscenza del danno subito/provocato inconsapevolmente e ne ha avuto certezza. dal momento della certezza tutto il tempo che è intercorso potrebbe essere considerato ingiustificato. però: chi è il titolare?
#15 Inviato 9 Febbraio, 2021 No. Non è andata così. Le mail sono partite il 30 dicembre. Io stesso ne ho ricevuto una decina (anche nella pec). Del resto anche l'amministratore lo ha ammesso.
#16 Inviato 9 Febbraio, 2021 Grazie per la risposta. Il fatto, come ho detto, risale al 30 dicembre con invio massiccio di mail fake con virus dal suo studio. Chiamo amministratore che mi conferma il fatto di aver aperto al mattino la mail e di averla trovata piena zeppa di altrettante mail con virus. Ora inizia il mistero: incalzato da mie domande se ne esce con una sostanziale ammissione di colpevolezza riguardo l'invio delle stesse. Tanto che mi conferma lo spegnimento del PC in attesa dell'arrivo del tecnico. Se autorizzato mi presto per scrivere ed affiggere in bacheca un avviso ai condomini di non aprire nessuna mail. Ma lui nulla, tentenna. 25 gg dopo comunica ufficialmente la cosa
#17 Inviato 9 Febbraio, 2021 Stefano Mandini dice: Ma lui nulla, tentenna. 25 gg dopo comunica ufficialmente la cosa boh! guarda... chiedigli quali metodi adotterà per fare in modo che non si verifichi più una sottrazione di dati e via, pietra sopra. forse conviene così.
