Trenitalia vittima di data breach: notifiche al Garante e al CSIRT

Trenitalia ha subito un data breach. L’azienda ha comunicato la violazione ai propri clienti via email, spiegando che l’attacco sarebbe stato causato da “soggetti esterni non identificati” e che, al termine di approfondite verifiche tecniche, è stato possibile individuare le persone potenzialmente interessate.

Secondo quanto comunicato, non risultano compromessi i dati di accesso agli account, le credenziali personali né le informazioni di pagamento (numero della carta, data di scadenza o codice di sicurezza).

Quali dati coinvolti

La violazione potrebbe aver interessato diverse categorie di dati personali:
• Dati anagrafici: nome, cognome, data e luogo di nascita del passeggero e dell’eventuale acquirente
• Recapiti: indirizzo email e numero di telefono
• Dati di viaggio: tratta, data, orario, numero del titolo di viaggio
• Codice della carta fedeltà, se associata al biglietto
• Società o ente datore di lavoro
• Tipologia di offerta o servizio acquistato
• Estremi del documento d’identità
• Dati tecnici connessi alla generazione del titolo di viaggio

Notifica al Garante e al CSIRT

Trenitalia ha precisato di aver adottato immediatamente le misure necessarie per contenere l’incidente e di aver notificato l’accaduto al Garante per la protezione dei dati personali e al CSIRT Italia, come previsto dalla normativa. È stata inoltre presentata una denuncia alla Procura della Repubblica presso il Tribunale di Roma.

Il rischio di phishing

Trenitalia avverte che esiste il rischio che i clienti possano ricevere messaggi fraudolenti o tentativi di phishing che facciano riferimento ai propri viaggi. L’azienda invita a diffidare di email, SMS o telefonate sospette e a non fornire dati personali o finanziari. Trenitalia ricorda che non contatterà mai i clienti per richiedere password o dati di pagamento.

Per chiarimenti è stato attivato un servizio di assistenza dedicato tramite il webform “Privacy – Gestione dei dati personali”.