Violazione dei dati personali in data 6 settembre 2022

Carissimi compagni /Gentilissimi iscritti,
Con la presente, la CGIL Emilia-Romagna, anche allo scopo di adempiere agli obblighi derivanti dall’art. 34 del Regolamento (UE) 679/2016, vi comunica che in data 06.09.2022 è avvenuta una violazione di dati personali. In particolare, sono stati carpiti username e password dell’account e-mail di n. 2 operatori CGIL presso le Camere del Lavoro Territoriali di Bologna e Ferrara. In un lasso di tempo relativamente breve gli autori della violazione, servendosi dei due account violati, hanno effettuato un tentativo di frode: per quanto attiene alla cdlt di Bologna, l’account attenzionato è stato oggetto di molteplici accessi “in lettura”; quanto invece alla cdlt di Ferrara, oltre ai descritti accessi, è stato effettuato un invio di e-mail massimo a scopo di phishing: quest’ultimo tentativo ha coinvolto quasi esclusivamente indirizzi e-mail appartenenti all’organizzazione e solo alcuni indirizzi e-mail con diverso dominio. Dall’analisi dei file di log vi è evidenza che si sono verificati accessi in lettura al contenuto di entrambe le caselle di posta elettronica e che siano state fatte ricerche al loro interno, senza tuttavia la certezza che il contenuto sia stato copiato o esportato; ciò in quanto è ragionevole ritenere che l’intento principale dell’attacco sia stato quello di trasmettere e-mail fraudolente. La CGIL Emilia-Romagna, per tutelare nella misura massima possibile i dati personali dei propri utenti ed evitare ulteriori violazioni, ha già prontamente bloccato le caselle di posta elettronica violate, modificato d’imperio le password dei due account, bloccato l’accesso al sito malevolo al quale la mail di phishing reindirizzava, monitorato gli eventuali tentativi di accesso, cancellato a tappeto su tutte le caselle dell’organizzazione il predetto messaggio malevolo.
A tutti gli operatori, tempestivamente allertati del pericolo, è stata ribadita l’importanza di un corretto uso della strumentazione di lavoro con particolare attenzione all’utilizzo corretto delle caselle di posta elettronica e la rilevanza dell’evitare le frodi informatiche. La CGIL Emilia-Romagna sta programmando, insieme al Responsabile della Protezione dei Dati personali, delle specifiche giornate di formazione in materia di protezione dei dati personali rivolte agli operatori delle Camere del Lavoro Territoriali presenti in Emilia-Romagna. Infine, vista importanza della consapevolezza dei rischi specifici in capo agli utenti, lo scrivente titolare sta valutando di aumentare lo sforzo formativo in termini di Security Awareness Training.
Per quanto si ritenga probabile che i dati personali presenti nelle caselle di posta dei due operatori autorizzati sia di scarso interesse per gli autori della violazione, purtuttavia vi potrebbe essere il rischio di ricevere – o di aver ricevuto – e-mail di phishing e/o fraudolente. Pertanto, si consiglia di prestare la massima attenzione alle e-mail che potreste aver ricevuto, in particolare in data 06.09.2022 (occorre verificarne la provenienza per evitare di aprire e-mail di phishing), e a eventuali operazioni effettuate a vostro nome.
Per avere maggiori informazioni in merito all’indirizzo di posta elettronica violato e alla violazione occorsa contattare il Responsabile della Protezione dei Dati personali (RPD) all’indirizzo mail privacy@cgil.it.