Skip to main content
SAB

Inps: dati personali esposti online, grave falla di sicurezza

By 2 Aprile 2020Aprile 14th, 2020No Comments

I dati personali dei contribuenti esposti sul sito dell’INPS: nome, cognome, indirizzo e codice fiscale degli utenti accessibili pubblicamente.
Grave falla di sicurezza e violazione della privacy. Gravissima falla di sicurezza sul sito dell’INPS: i dati personali degli utenti sono esposti pubblicamente e accessibili da chiunque entri nella pagina ufficiale del portale, intasato per la richiesta del Bonus da 600 euro per i titolari di partita IVA stilati dal governo per l’emergenza coronavirus.

Sono diversi nominativi dei contribuenti che appaiono random selezionando una o più sezione del sito INPS e nei dati consultabili c’è proprio tutto: nome, cognome, codice fiscale e persino indirizzo di casa, comune di residenza e numero di telefono o cellulare. Tutto completamente accessibile e frutto di una gravissima falla di sistema che ha portato milioni di utenti a entrare in possesso di centinaia di informazioni personali in una situazione che, al momento, potrebbe avere svolte imprevedibili per la privacy degli utenti.

INPS ALLARME PRIVACY: DATI SENSIBILI DEGLI UTENTI ESPOSTI ONLINE

Il problema non è ancora noto alle autorità competenti e la causa dell’origine di questo grave errore sono al momento sconosciute. I profili al momento accessibili sono diversi e la lacuna è stata verificata. L’accesso è frutto di un errore ed completamente involontario. Basta riuscire ad accedere alla pagina di My Inps e, senza nemmeno il tempo di fare l’accesso, ci si ritrova catapultati in profili altrui senza volerlo lasciando piena libera alla consultazione dei dati anagrafici e delle informazioni sensibili. Non sappiamo se questo errore sia frutto di un attacco hacker ai danni dell’INPS o un errore di sistema della piattaforma che, proprio nelle ultime ore, sta riscontrando diversi problemi. Quello che è certo è che si tratta di una grave violazione dei dati personali che, sicuramente, avrà ripercussioni serie per gli utenti coinvolti nell’esposizione involontaria (e molto probabilmente inconsapevole).

SITO DELL’INPS IN TILT: “ATTACCO HACKER”.

Ma gli analisti lo escludono. Piattaforma bloccata nel giorno delle richieste per i bonus. Molti utenti hanno segnalato di aver avuto accesso ai dati di altri iscritti.
Garante della Privacy: “Grave violazione, siamo molto preoccupati”. Per Conte e Tridico è stato un attacco ma gli esperti interpellati dall’Agi lo ritengono improbabile di Arcangelo Rociola – Paolo Fiore – CORONAVIRUS INPS – aggiornato alle 19:4901 aprile 2020 © Pierpaolo Scavuzzo / AGF – Pasquale Tridico, presidente dell’Inps Sito bloccato, servizi inaccessibili ed esposizione dei dati degli utenti.

Nel giorno in cui è possibile inviare le richieste di bonus e congedi, l’Inps si blocca. Il presidente dell’ente, Pasquale Tridico, parla di un attacco hacker, tesi sostenuta anche dal presidente del Consiglio, Giuseppe Conte. li esperti informatici interpellati dall’Agi escludono però questa pista. Cosa è successo Provando ad accedere a uno dei tre servizi previsti dal Cura Italia per tamponare l’emergenza Covid-19 (la richiesta di bonus baby-sitter, quella di congedo parentale e l’indennità di 600 euro per gli autonomi), il sito prova a caricare le pagine per diversi minuti prima di annunciare che il server non risponde. Troppo traffico in entrata. Via Twitter, l’Inps, sommersa dai messaggi di protesta, scrive di essere a “conoscenza della problematica”: “Ci scusiamo per quanto accaduto e stiamo lavorando a una pronta risoluzione”.

Intanto decine di utenti hanno segnalato – anche all’AGI – che, inserendo le proprie credenziali, l’Inps rimanda alle sezioni riservate e ai dati di altri utenti. Con tanto di nomi, anagrafe, codice e posizione fiscale, Pec. Non un errore isolato, a quanto pare. Molti utenti segnalano che, a ogni tentativo di accesso vengono reindirizzati alle schede di altri cittadini a caso. Il garante della Privacy: “Gravissimo data breach” Sulla questione si accende anche il faro dell’Autorità garante della privacy, che esprime seria preoccupazione per l’esposizione di dati personali degli utenti. “Si tratta di un gravissimo data breach. Siamo molto preoccupati, ci siamo messi subito in contatto con l’Inps e avvieremo i primi accertamenti per verificare se si è trattato di un problema legato alla progettazione del sistema di una problematica più ampia. È importante che ora l’Inps chiuda la falla e metta in sicurezza i dati”. Il presidente dell’Istituto, Pasquale Tridico, ha spiegato in mattinata – sempre tramite il social network – che “dall’una di notte alle 8.30 circa, abbiamo ricevuto 300 mila domande regolari.

Adesso stiamo ricevendo 100 domande al secondo.
Una cosa mai vista sui sistemi dell’Inps che stanno reggendo, sebbene gli intasamenti sono inevitabili con questi numeri”. Poi al Tg1 chiarisce: “Negli ultimi giorni abbiamo subito diversi attacchi hacker che hanno creato diverse disfunzioni. Stamattina gli attacchi sono proseguiti, con disfunzioni ulteriori”. Al momento l’accesso al sito è sospeso, ma Tridico ha assicurato che sarà presto riaperto, sebbene “con una modalità diversa: la mattina, dalle 8 alle 16, a patronati e consulenti, dalle 16 in poi anche ai cittadini”. Nel pomeriggio anche il premier Conte ha detto che la piattaforma è stata oggetto di attacchi hacker. Perché un attacco hacker è improbabile È poco probabile che i problemi del sito dell’Inps siano stati causati da un attacco hacker, anche perché di attacchi hacker di questo tipo finora non ce n’è mai stata traccia. Più facile invece che si sia trattato di un errore di programmazione della memoria cache del sito. Ne è convinto Matteo Flora, imprenditore e informatico che all’AGI spiega le ragioni delle centinaia di segnalazioni arrivate in queste ore da parte di utenti che si sono trovati con moduli già compilati da altri utenti, accedendo cosi’ ai loro dati riservati.

“La cosa che ritengo più probabile è che qualcuno abbia attivato un meccanismo di memoria cache per aiutare il sito che in quelle ore faticava a stare online”, spiega Flora. Una sorta di scorciatoia per alleggerire il sistema dalle centinaia di migliaia di richieste di compilazione dei moduli: “Con la cache, invece di chiedere tutte le volte al server le informazioni per ‘comporre’ le pagine dei moduli da compilare, sovraccaricando ulteriormente il sistema, si tengono in memoria alcune ‘parti’ delle richieste e richiamarle per rendere più leggera l’operazione”. Come si spiega quindi che chi accedeva al sito si è ritrovato i moduli compilati da altri? “Qualcuno deve aver messo in cache anche le pagine degli utenti autenticati nel sito nell’Inps o per lo meno le sessioni autenticate – continua Flora -. Quindi chi è entrato per primo ha caricato i suoi dati, ma questi sono stati memorizzati, e l’utente successivo entrando nel sito li ha potuti vedere come se fossero i suoi.
Si tratta di decine, forse centinaia di migliaia di dati personali di utenti che sono stati esposti ad altre persone”. Un errore di programmazione quindi, e anche piuttosto comune, spiega l’informatico: “Chiunque abbia mai programmato un sistema di cache ha fatto questo errore. Ma si tratta di un errore che generalmente viene fatto e individuato in fase di progettazione del sito, non quando si è online”. Flora infine ritiene poco probabile che quel genere di problemi possano essere stati causati da un attacco hacker, pur non potendo escludere che un qualche tipo di attacco ci sia stato: “Al momento non si hanno notizie di altri attacchi hacker di questo tipo. Anche perché sarebbe un attacco hacker un po’ senza senso: non sono stati rubati dei dati, ma si sono esposti dati di utenti ad altri utenti. E poi c’è da dire che tutti i siti sono quotidianamente oggetto di attacchi hacker di qualche tipo, ma sono cose che tutti già mettono ampiamente in conto e hanno sistemi per difendersi”, conclude. E ora che deve fare l’Inps? Sul sito dell’Inps c’è stato comunque quello che gli informatici definiscono un leak.

Una violazione di dati personali che per essere tale non è’ necessario che sia causata volontariamente da qualcuno, spiega all’AGI (Agenzia Giornalistica Italia) Massimo Simbula, avvocato esperto di digitale. “La violazione dei dati personali è per definizione una problema di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica o la divulgazione non autorizzata di informazioni. È il regolamento europeo sulla privacy a definirlo in questo modo”, spiega Simbula. Ma una volta accertata la violazione, cosa deve fare ora l’Inps? “Il Gdpr è molto chiaro in proposito: l’Inps deve notificare la violazione al Garante Privacy senza ritardo, spiegando cosa è successo e le azioni intraprese. Se possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza – continua l’avvocato-. Qui mi pare che si tratti di una violazione che potrebbe rappresentare un rischio elevato per i diritti e le libertà delle persone fisiche, quindi oltre ad avvisare il Garante, per l’Inps sarà necessaria una notifica anche a tutti gli utenti interessati dalla violazione”. Violare la normativa europea comporta sanzioni, anche pecuniarie.Cosa rischia l’Inps? “Premesso che è necessario verificare se esista o meno una responsabilità dell’INPS considerata anche la difficile situazione nella quale si trova ad operare, il Gdpr stabilisce che chiunque subisca un danno materiale o immateriale causato da una violazione ha diritto a ottenere il risarcimento del danno. Inoltre sulla carta il GDPR prevede sanzioni fino a 20 milioni di euro nel caso di violazione delle norme in materia. Per cui l’Inps dovrà attivarsi subito intanto con le notifiche del caso al Garante e, se necessario, agli utenti.
Dopodichè si dovrà verificare se ci sono altri soggetti coinvolti e il grado di responsabilità. Il tempo e’ un fattore importante in queste situazioni e dovrebbero attivarsi quanto prima per delle idonee contromisure”. Soldi che, continua Simbula, probabilmente sarà lo Stato a dover sborsare.

Scarica Articolo PDF

Leave a Reply