Il 27 dicembre 2024, InfoCert, uno dei principali certificatori digitali in Europa, ha subito un attacco informatico. L’incidente, che ha coinvolto un database gestito da un fornitore esterno per il supporto clienti, ha comportato l’esfiltrazione di dati personali di 5,5 milioni di utenti. Tra i dati compromessi figurano informazioni sensibili quali nomi, indirizzi email, numeri di telefono, codici fiscali e dettagli relativi a richieste di assistenza, incluse comunicazioni e risoluzioni con il personale dedicato.
Il giorno seguente, gli autori dell’attacco hanno pubblicato un annuncio su BreachForums, offrendo i dati in vendita al prezzo di 1.500 dollari. A scopo dimostrativo, hanno diffuso un file in formato CSV contenente 24 righe di dati sottratti, confermando così la violazione e la loro autenticità.
InfoCert, che fa parte del gruppo Tinexta e gestisce il sistema SPID, ha confermato l’attacco tramite una nota ufficiale. L’azienda ha precisato che le credenziali di accesso ai suoi servizi non sono state violate e che i suoi sistemi principali restano integri.
L’attacco ha esposto 5,5 milioni di record, inclusi 1,1 milioni di numeri di telefono e 2,5 milioni di indirizzi email. Questo episodio evidenzia i rischi legati alla gestione di dati da parte di fornitori terzi. Mentre il regolamento europeo eIDAS impone ai fornitori di servizi fiduciari di adottare misure per il rischio operativo, non vi sono requisiti specifici che garantiscano la sicurezza dei partner esterni.
