La Giornata europea della protezione dei dati personali, che ricorre oggi 28 gennaio, fa risaltare tutti i punti deboli dell’Italia in fatto di GDPR. Costituita dal Consiglio d’Europa nella giornata di oggi (28 gennaio), il Data Privacy Day si pone lo scopo di sensibilizzare persone, aziende e istituzioni al giusto uso e conservazione dei dati sensibili. Una campagna la cui entità è sottolineata dai dati concretamente preoccupanti: secondo un report recente di DLA Piper, l’azienda multinazionale di servizi legali presente in oltre 30 paesi, di fatti, dal 25 maggio 2018, l’Italia è 2ᵃ in Europa per numero di violazioni con 83 interventi dell’Autorità Garante (in testa c’è la Spagna con più di 250 sanzioni, segue la Romania con 57) e si pone in 3ᵃ posizione per multe complessive per quasi 80 milioni di euro. Particolarmente sanzionate sono state le imprese delle telecomunicazioni: nel 2021 in Europa sono state comminate multe per oltre 1,1 Mld, con un incremento vicino al 600% in un anno e 356 segnalazioni al giorno di data breach.

Jacopo Tenconi, GDPR Specialist di Primeur, multinazionale italiana specializzata nella data integration, ha affermato:

“Purtroppo sono dati che non sorprendono: in Italia Siamo ancora molto lontani dal creare una cultura del valore della data compliance – e prosegue – La corsa alla digitalizzazione a cui stiamo assistendo sta portando una nuova consapevolezza nelle persone sul valore e sull’uso dei dati che sono ormai diventati un asset strategico per le aziende: chi sarà in possesso di un’organizzazione informatica evoluta, con strumenti automatici di data integration, di mappatura e di mascheratura dei dati in grado di tenere costantemente sotto controllo i dati sensibili gestiti, trattati e archiviati da trattati e archiviati da un’organizzazione sarà più competitivo sul mercato. Questo trend di crescente consapevolezza è un processo che è iniziato ed è inarrestabile. Molte aziende, per contro, non sembrano avere acquisito altrettanta coscienza sull’importanza di ottemperare alle richieste GDPR come parte integrante del servizio ai clienti finali e alle terze parti: questo gap di consapevolezza sarà alla base di sempre crescente insoddisfazione dei clienti.
Le aziende più scaltre hanno capito che essere in linea con la GDPR non significa solo evitare multe salate e acquisire un vantaggio competitivo cruciale”.

Inoltre, secondo l’Allianz Risk Barometer i rischi informatici sono la principale causa di preoccupazione delle imprese nel 2022 con il 44% e hanno surclassato in classifica le difficoltà legata all’approvvigionamento della supply chain, i disastri naturali, il cambiamento climatico e l’evoluzione della pandemia.
L’entrata in vigore del regolamento europeo GDPR ha cambiato profondamene lo scenario in materia di privacy e coordinamento dei dati sensibili: le aziende e le istituzioni devono rispettare rigide regole in materia di gestione dei dati personali che possono includere l'obbligo di avvisare le autorità le violazioni da parte di hacker o pirati informatici entro 72 ore dalla scoperta.

Ma come mai in Italia siamo ancora così indietro rispetto all’Europa? Secondo Simone Bonavita, docente in Trattamento dei Dati Sensibili all’Università degli Studi di Milano occorre fare una duplice riflessione:

“Da una parte il Garante Privacy Italiano ha dei componenti di comprovata capacità molto attenti alla tutela degli interessi della collettività e ha intrapreso una serie di attività di sensibilizzazione sui temi connessi alla tutela dei dati personali. Dall’altra parte molte società percepiscono la privacy come un «inutile onere» invece di un’opportunità di ottimizzazione dei processi. Ottimizzare un processo significa aumentare la produttività e questa funzione efficientistica della privacy rappresenta un paradigma non molto noto in territorio italiano. A molte società italiane, inoltre, manca un approccio, nella privacy e nella sicurezza, che sia attento al processo, piuttosto che al compito”.

Quali sono le 10 maggiori cyber minacce che gli utenti dovranno fronteggiare nel 2022?

• Social Engineering – Questo tipo di attacco informatico contempla il comportamento e le interazioni che le persone fanno online per poi beffare gli stessi utenti con lo scopo di capire tutte le informazioni sensibili, sottrarre denaro o rubare identità.
• Ransomware – È la minaccia che spaventa di più le organizzazioni: il dispositivo digitale viene infettato da un programma malevolo che blocca l’accesso ai documenti per poi chiedere un riscatto. Recentemente la Regione Lazio ha subito un attacco ransomware che ha mandato in tilt svariati servizi riservati ai cittadini tra cui il portale dedicato alla vaccinazione.
• Cryptojacking – La nuova frontiera della truffa informatica. Questo attacco usa a insaputa del proprietario, il dispositivo elettronico per finalità di mining delle valute digitali. A differenza delle altre minacce, l’obiettivo finale non è l’informazione personale dell’utente bensì quello di utilizzare un computer di un’altra persona per poter effettuare tutte le operazioni di estrazione digitale e accumulare cryptovaluta.
• Smishing – L’evoluzione del phishing. Sono sempre di più le minacce che spaziano tramite i messaggi di testo: in genere si parla di finti istituti di credito o uffici postali che richiedono informazioni finanziarie personali come il numero di conto o quello della carta di credito.
• Bot – Si tratta di una rete fatta da diversi Personal Computer infetti da malware che viene utilizzata per inviare mail nocive contenente spam, virus o con l’obiettivo di rubare i dati personali. Con l’aumento dello smart working e del contestuale utilizzo delle reti domestiche con device lavorativi, questi attacchi sono tornati all’ordine del giorno.
• BEC, Business E-mail Compromise – Questa tipologia di attacchi permettono agli hacker di entrare ad un account di posta elettronica aziendale e di simulare di essere il proprietario con lo scopo di truffare l’azienda stessa o i fornitori/partner con mail veritiere derivanti da un interlocutore autorevole.
• Robocall – Aumentano spaventosamente le chiamate in arrivo da sistemi automatizzati: questa tipologia di telefonate viene utilizzata sempre di più da società di telemarketing ma in alcuni casi le chiamate hanno l’obiettivo di ottenere in modo fraudolento i dati dell’utente per attivare a sua insaputa contratti non richiesti.
• Deepfake – È una tecnologia basata sull’intelligenza artificiale che, tramite la sovrapposizione di volti su persone reali, fa sì che si possano falsificare video creando immagini e filmanti altamente realistici. Questa tipologia di truffa viene utilizzata dagli hacker soprattutto per ricattare altre persone soprattutto in ambito della sfera personale.
• Spyware – È un malware che viene scaricato su un device elettronico senza il permesso dell'utente e sottrae i dati degli utenti per venderli a inserzionisti e aziende esterne. È in grado d’infettare i dispositivi tramite app, collegamenti, siti web e allegati di posta elettronica dannosi.
• SIM Swap – La truffa dello “scambio della scheda telefonica” è un furto d’identità dove il criminale riesce ad ottenere i dati personali della vittima: tramite una finta denuncia, la Sim viene duplicata e così il truffatore può cominciare ad operare con l’home banking della vittima ricevendo sul suo cellulare le notifiche per autorizzare le operazioni.