Il Garante per la Protezione dei Dati Personali ha sanzionato Wind Tre S.p.A. con 1.715.600 euro per gravi carenze nella sicurezza dei sistemi aziendali che hanno permesso due accessi abusivi e l'esfiltrazione dei dati personali di oltre 365.000 clienti. Il provvedimento n. 348 del 14 maggio 2026, reso noto il 16 luglio 2026, riguarda due data breach avvenuti nel febbraio 2025 e sancisce un principio che il settore enterprise non può più ignorare: il perimetro di sicurezza si estende fisicamente ai punti vendata.
- La sanzione amministrativa pecuniaria è di 1.715.600 euro, pari allo 0,04% del fatturato aziendale, per violazioni degli artt. 5 e 32 GDPR.
- L'attacco è avvenuto mediante social engineering telefonico: falsi tecnici dell'assistenza hanno convinto operatori di due punti vendita a consentire l'accesso ai sistemi aziendali.
- Sono risultati esposti i dati di oltre 365.000 clienti; per 41.359 di essi l'esfiltrazione ha riguardato anche informazioni sui metodi di pagamento, inclusi bollettino postale, IBAN, numero di carta di credito parzialmente oscurato e data di scadenza.
- Il Garante ha accertato carenze nella gestione delle credenziali di accesso e dei certificati digitali, e ha ordinato a Wind Tre di rafforzare la protezione di entrambi gli elementi.
Il meccanismo dell'attacco: ingegneria sociale contro procedure deboli
Il vettore di ingresso non è stato tecnico. Secondo la ricostruzione del Garante, "gli hacker, fingendosi tecnici dell'assistenza, hanno convinto gli operatori di due punti vendita a consentire l'accesso ai sistemi aziendali". La formulazione ufficiale esclude l'impiego di exploit software o compromissione di infrastrutture remote: l'autenticazione è stata ottenuta manipolando persone in carne e ossa, su canale telefonico, sfruttando una mancanza di verifica identitaria su canale indipendente.
Il dossier non specifica la durata dell'accesso abusivo né la cronologia operativa esatta dei due eventi. Non emerge invece dubbio sulle conseguenze: l'esfiltrazione massiva è avvenuta dopo il superamento di questo primo controllo umano. La fonte non rivela l'identità degli attaccanti né la destinazione dei dati sottratti.
"Non serve violare i firewall se si può convincere una persona" — Enrico Capirone, Presidente iSimply srl, DPO
Cosa il Garante ha accertato: credenziali, certificati e verifiche insufficienti
Il provvedimento del 14 maggio 2026 documenta tre ordini di problema. Primo: "carenze nella gestione delle credenziali di accesso e dei certificati digitali". Secondo: le verifiche di sicurezza effettuate da Wind Tre "non avevano individuato vulnerabilità che sarebbero state rilevabili con controlli più approfonditi". Terzo: le violazioni accertate ricadono sugli artt. 5, par. 1, lett. f) (integrità e riservatezza) e 32, par. 1, lett. b) (sicurezza dei trattamenti) del GDPR.
L'art. 32 GDPR impone al titolare "un livello di sicurezza adeguato al rischio", includendo tra le misure la pseudonimizzazione, il controllo degli accessi e la protezione dei sistemi. Il Garante ha interpretato questo obbligo in senso esteso: il punto vendita è un'estensione del sistema informativo aziendale, non una periferia esclusa dalla compliance. Le credenziali e i certificati digitali gestiti in quei contesti rientrano nel medesimo perimetro normativo dei datacenter centrali.
Perché è importante
Il provvedimento stabilisce che il titolare GDPR risponde delle debolezze di punti vendita, rivenditori e canali distributivi. Questo principio, espresso nella lettura del settore come "il titolare del trattamento risponde anche delle debolezze dei propri canali distributivi", ha conseguenze concrete per ogni organizzazione con rete fisica di vendita o assistenza: la formazione anti-social-engineering, l'autenticazione multi-fattore e gli audit estesi alla supply chain diventano obblighi derivanti direttamente dall'art. 32, non raccomandazioni opzionali.
Il dossier non specifica le misure correttive adottate da Wind Tre dopo l'attacco, sebbene queste siano state menzionate tra gli elementi attenuanti della sanzione. Non emerge invece se il provvedimento prescriva termini di implementazione o metodologie di verifica per gli ordini impartiti. Il Garante ha richiesto espressamente: rafforzamento della protezione di credenziali e certificati digitali; introduzione di strumenti sicuri per la gestione delle password; miglioramento delle procedure di sicurezza informatica.
La sanzione di 1.715.600 euro, pur rappresentando lo 0,04% del fatturato, si colloca in una forbice significativa per il settore telco italiano. La sua gravità è mitigata dalle attenuanti riconosciute: tempestiva notifica dell'incidente, misure correttive post-evento e collaborazione nell'istruttoria. Questo profilo sanzionatorio suggerisce che il mancato rispetto di uno qualsiasi di questi tre elementi avrebbe determinato una stima superiore.
Il dato del retail come perimetro di sicurezza
Il caso Wind Tre espone una discontinuità comune nella progettazione della sicurezza enterprise: la concentrazione di investimenti su infrastrutture centrali lasciando i nodi periferici con controlli proporzionalmente più deboli. Il provvedimento n. 348/2026 sancisce che questa asimmetria non è giustificabile sotto il profilo del rischio: il punto vendita compromesso ha aperto l'accesso a un volume di dati comparabile a quello di una violazione di sistemi hub.
Il brief non documenta il dettaglio tecnico delle "vulnerabilità" non individuate dalle verifiche di sicurezza interne, né le specifiche architetture di autenticazione in uso nei punti vendita coinvolti. Il Garante non ha reso noto se gli operatori ingannati siano stati soggetti a procedimenti disciplinari interni o se Wind Tre abbia modificato i protocolli di verifica delle chiamate in entrata.
Per i 41.359 clienti con dati di pagamento esposti, il rischio concreto dipende dall'uso che gli attaccanti abbiano fatto delle informazioni. Il dossier non specifica se i dati siano stati pubblicati, venduti o utilizzati per attività fraudolente successive. Il numero di carta di credito era parzialmente oscurato: questa circostanza riduce la fungibilità immediata del dato, ma non elimina il rischio di correlazione con altre fonti informative.
Impatto sul settore e lettura del provvedimento
Il settore delle telecomunicazioni italiano registra una conferma: anche operatori di scala nazionale restano vulnerabili a tecniche di attacco low-tech, basate su manipolazione psicologica piuttosto che su sofisticazione tecnica. Il valore del provvedimento risiede nella sua funzione deterrente estesa: ogni titolare con rete distributiva deve ora presumere che il proprio perimetro di attacco includa la totalità dei punti di contatto fisico con il pubblico.
Il Garante ha collegato esplicitamente la gravita della sanzione alla dimensione del danno potenziale: oltre 365.000 profili esposti, con una minoranza sostanziale (circa l'11,3%) che include dati finanziari sensibili. Questa quantificazione offre un parametro di riferimento per le valutazioni di rischio delle aziende con basi clienti comparabili.
Le informazioni sono basate sul provvedimento citato e aggiornate al momento della pubblicazione.
Fonti
- https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10272004
- https://www.isimply.it/news/data-breach-wind-tre-sanzione-garante-falsi-tecnici/
- https://www.imgpress.it/tecnologia/data-breach-il-garante-privacy-sanziona-wind-tre-per-17-milioni-di-euro-gravi-carenze-nella-sicurezza-dei-dati-coinvolti-oltre-365mila-clienti/
- https://www.mlex.com/mlex/articles/2304269/telecommunications-company-wind-tre-faces-italian-gdpr-fine
- https://www.mlex.com/mlex/data-privacy-security
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.