Un incidente di sicurezza informatica ha interessato i sistemi di gestione dei titoli di viaggio di Trenitalia, con un possibile accesso non autorizzato a dati personali dei passeggeri.
Secondo quanto comunicato dalla società, si tratterebbe di un attacco informatico condotto da soggetti esterni non identificati, individuato a seguito di verifiche interne e attività di monitoraggio sui sistemi.
L’azienda ha precisato che sono state avviate immediatamente le procedure di contenimento e messa in sicurezza, oltre al rafforzamento delle misure di protezione per prevenire ulteriori accessi.
Indice
Notifica al Garante e alle autorità competenti
L’incidente è stato notificato al Garante per la protezione dei dati personali e allo Csirt Italia, come previsto dalla normativa europea in materia di protezione dei dati. È stata inoltre presentata denuncia alla Procura della Repubblica presso il Tribunale di Roma.
Come stabilito dall’articolo 33 e 34 del Regolamento Ue 2016/679, le aziende sono tenute a comunicare le violazioni dei dati personali quando possono comportare un rischio per i diritti e le libertà degli interessati.
Quali dati potrebbero essere stati esposti
La società ha chiarito che non risultano compromessi i dati relativi a carte di pagamento, credenziali di accesso o informazioni bancarie.
Le informazioni potenzialmente coinvolte riguardano dati collegati ai titoli di viaggio, tra cui:
- dati anagrafici (nome, cognome, data e luogo di nascita);
- dati di contatto (email e numero di telefono);
- informazioni di viaggio (tratte, date, orari e numero del biglietto);
- eventuale codice carta fedeltà;
- dati relativi a società o enti di appartenenza;
- tipologia di servizio o offerta acquistata;
- estremi del documento d’identità;
- dati tecnici legati all’emissione del titolo di viaggio.
Si tratta di informazioni che, pur non essendo finanziarie, contengono dati sensibili e possono essere usate per ricostruire abitudini di spostamento e identità dei passeggeri.
Il rischio principale: phishing e truffe personalizzate
Secondo gli esperti di sicurezza informatica, uno degli effetti più rilevanti di questo tipo di violazioni è l’aumento del rischio di phishing mirato.
Dati relativi ai viaggi possono infatti essere utilizzati per rendere più credibili messaggi fraudolenti, inviando finte comunicazioni su rimborsi per ritardo di convogli, pedaggi non pagati o problemi con i biglietti acquistati.
Il risultato è un aumento della probabilità che gli utenti vengano contattati da messaggi apparentemente ufficiali, con richieste di dati personali o finanziari.
Come riconoscere i tentativi di frode
Le principali raccomandazioni per proteggersi da questi tentativi di aggiramento includono:
- diffidare dei messaggi con toni urgenti o minacciosi;
- non cliccare su link ricevuti via messaggio o email non verificati;
- non fornire mai dati bancari o credenziali;
- controllare sempre i canali ufficiali dell’azienda.
Trenitalia, così come Poste o altri Enti, non richiedono mai password o dati di pagamento tramite messaggi o email.
In crescita gli attacchi ai servizi digitali
L’episodio si inserisce in un quadro più ampio di aumento degli attacchi informatici ai servizi digitali del trasporto pubblico e delle grandi piattaforme con milioni di utenti.
La combinazione di dati anagrafici, contatti e informazioni di viaggio rappresenta infatti un bersaglio particolarmente utile per attività fraudolente e campagne di ingegneria sociale sempre più sofisticate.