L'ente di protezione dati del Regno Unito ha emesso un richiamo all'ACRO Records Office a seguito di un grave incidente di sicurezza che ha esposto dati sensibili di oltre 10.000 persone, evidenziando carenze nella gestione delle patch e nel monitoraggio della sicurezza.
L'Information Commissioner's Office (ICO), l'autorità di vigilanza sulla protezione dei dati del Regno Unito, ha formalmente richiamato l'ACRO (Affairs, Criminality, Records Office) per una serie di inadeguatezze nella gestione della sicurezza informatica che hanno portato a un significativo data breach nel 2023. L'incidente ha potenzialmente compromesso le informazioni personali di oltre 10.000 individui.
Tra agosto 2022 e marzo 2023, un attore malevolo è riuscito ad accedere senza autorizzazione al sito web dell'ACRO e al suo Content Management System (CMS). Sebbene non sia stato possibile determinare con certezza se i dati siano stati effettivamente esfiltrati, l'ICO ha confermato che le informazioni esposte includevano dati altamente sensibili. Questi comprendevano nomi, date di nascita, indirizzi, numeri di previdenza sociale (National Insurance numbers), dettagli di passaporti e patenti di guida, informazioni bancarie, dati biometrici e "informazioni estremamente sensibili relative a reati e categorie speciali".
L'impatto del breach è stato particolarmente grave considerando che tra le persone interessate figuravano individui legati a certificati di protezione internazionale per minori e vittime di violenza domestica, rendendo i dati esposti particolarmente vulnerabili a ulteriori abusi.
La decisione dell'ICO di emettere un richiamo, basato sulla violazione del GDPR, si concentra su due carenze fondamentali nella postura di sicurezza dell'ACRO:
Nel determinare la sanzione, l'ICO ha tenuto conto di alcuni fattori positivi, come la segmentazione della rete implementata dall'ACRO, che ha limitato la portata dell'attacco, e le azioni correttive intraprese. Queste includono la dismissione dell'infrastruttura compromessa, la migrazione dei servizi, l'implementazione di un monitoraggio di sicurezza più efficace, il miglioramento della visibilità delle minacce informatiche e il rafforzamento della segmentazione di rete.
È probabile che l'ACRO sia sfuggita a una sanzione pecuniaria grazie all'approccio dell'ICO nei confronti del settore pubblico, che limita l'imposizione di multe. Tuttavia, il richiamo serve da monito. Jonathan Balmforth, group manager per le indagini civili e informatiche dell'ICO, ha dichiarato: "Le organizzazioni devono assicurarsi che vi sia una chiara responsabilità nell'identificare, valutare e applicare gli aggiornamenti di sicurezza. Devono inoltre disporre di un monitoraggio efficace in modo che i segnali di avvertimento degli attacchi informatici vengano identificati, indagati e affrontati tempestivamente".
L'ICO ha fornito raccomandazioni specifiche per altre organizzazioni, sottolineando l'importanza di:
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
