Attacco di Anonymous all'Ordine Avvocati di Roma

Il gruppo Anonymous ha attaccato i server delle posta elettronica dell' Ordine degli Avvocati di Roma entrando in possesso di 30.000 contenuti delle email e delle PEC.  Dopo essere riusciti a violare i Server hanno trovato un documento che conteneva tutte le password per la prima configurazione della posta.

Questo episodio mette in evidenza la scarsa attenzione da parte degli utenti di qualsiasi tipologia essi siano alla protezione dei propri  dati personali . In questo caso se ogni avvocato avesse provveduto a sostituire la password ricevuta per la prima configurazione della sua posta, come del resto viene sempre richiesto da provider, questo massiccio furto di dati non sarebbe avvenuto così facilmente.

L'articolo 32 del GDPR (regolamento Europeo per la protezione dei dati personali) detta le regole che devono essere seguite:.

"Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso:

a)  la pseudonimizzazione e la cifratura dei dati personali;
b)  la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;
c)  la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico;
d) una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del  trattamento.
Nel valutare l’adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati.

L’adesione a un codice di condotta approvato di cui all’articolo 40 o a un meccanismo di certificazione approvato di cui all’articolo 42 può essere utilizzata come elemento per dimostrare la conformità ai requisiti di cui al paragrafo 1 del presente articolo.

Il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri."