CNPR, segnalato un attacco informatico

Lo scorso 22 ottobre 2024 è stato rilevato un accesso abusivo, eseguito da criminali ignoti, ai sistemi informatici della Cassa Nazionale di Previdenza ed Assistenza a favore dei Ragionieri e Periti Commerciali. L’accaduto è stato tempestivamente segnalato dalla CNPR con una comunicazione a tutti gli utenti. Le indagini e gli approfondimenti sono ancora in corso, ma i danni dovrebbero essere limitati.

Dalle prime attività investigative avviate è stata rilevata una possibile violazione dei dati degli utenti. La CNPR è impegnata ad accertare la tipologia di dati personali compromessi dall’attacco. Allo stato attuale risulterebbero compromessi solo i dati personali identificativi comuni e, secondo alcune indiscrezioni, i soli dati degli utenti trattati nell’ambito della corrispondenza interna.

La CNPR ha informato i propri utenti di aver segnalato immediatamente l’accaduto alle autorità competenti, esposto denunzia-querela contro ignoti innanzi alla Procura della repubblica presso il Tribunale di Roma, nonché notificato in via preliminare la violazione dei dati personali rilevata al Garante della Privacy. Inoltre, dal momento in cui è stato rilevato l’attacco informatico, sono state attivate prontamente le policy e le procedure di emergenza con il coinvolgimento diretto del Cyber Team della società di consulenza Tinexta Cyber, leader del settore.

In questi casi assume assoluta centralità la tempestiva comunicazione agli utenti degli accessi abusivi rilevati. Consapevoli dell’accaduto, infatti, gli utenti potenzialmente interessati dalla sottrazione o dalla compromissione di dati personali possono, a propria volta, adeguare le proprie procedure di sicurezza informatica e modificare le credenziali e le chiavi di sicurezza solitamente utilizzate. In questi casi, anche per non propagare ulteriormente gli effetti dell’attacco informatico, la tempestività assume un ruolo centrale.

Si tratta di un evento degno di nota, dal quale è impossibile dichiararsi immuni. Il tema della sicurezza informatica, che si manifesta in plurime azioni criminali tese all’acquisizione dati finalizzate ad azioni di carattere fraudolento, non riguarda esclusivamente le istituzioni, non sembra fino ad oggi trovare confini sicuri e, soprattutto, rimedi efficaci. Si pensi, ad esempio, all’attività di “phishing”, attraverso la quale si cerca di ingannare la vittima convincendola a fornire informazioni personali, dati finanziari o credenziali personali, fingendosi un ente affidabile in una comunicazione digitale, ovvero a quella di “smishing” che utilizza messaggi di testo e sistemi di messaggistica, inclusi quelli delle piattaforme social media, per appropriarsi di dati personali a fini illeciti, spesso per poi sottrarre denaro da conti e carte di credito.