Il problema dei dati rubati

Se hanno rubato i dati al tuo commercialista, il problema è tuo. Quelli che hanno rubato sono i tuoi dati. Le tue fatture. I tuoi clienti. I tuoi fornitori. I tuoi compensi. I rapporti bancari. I documenti fiscali. Forse contratti, documenti di identità, codici fiscali e altre informazioni che, messe insieme, raccontano molto della tua attività e anche di te.

Quando subisce un attacco informatico il commercialista, il consulente del lavoro, l'avvocato o qualsiasi altro professionista al quale abbiamo affidato informazioni, viene sottovalutato. Ma dal punto di vista della protezione dei dati è una prospettiva pericolosa. E il caso TeamSystem, reso pubblico il 26 agosto scorso, diventa un caso di scuola.

Le conseguenze di un attacco informatico

TeamSystem ha comunicato di aver rilevato un accesso non autorizzato ai sistemi che ospitano Contabilità in Cloud, il servizio utilizzato da imprese, professionisti e consulenti per la gestione delle fatture e tutto ciò che è correlato. Due giorni dopo l'azienda ha notificato ai clienti l'avvenuta esfiltrazione di dati.

Lo avrebbe fatto a mezzo mail ordinaria, un dettaglio non minore che aggraverebbe il quadro. Per un fornitore che tratta dati bancari e movimentazioni contabili di migliaia di studi professionali e imprese, è una scelta strana proprio nel momento in cui la fiducia conta di più. E c'è un paradosso: il rischio principale di questo data breach è il phishing costruito con dati veri. La notizia del rischio arriva attraverso lo stesso tipo di canale, non autenticato, che un attaccante userebbe per simularla.

Il dato che rende il caso davvero pericoloso non sono i nomi o i recapiti, ma gli IBAN e i dati sulle operazioni contabili: descrizioni dei pagamenti, importi, controparti, periodicità. In altre parole, chi paga chi, quanto e per che cosa. È esattamente il materiale che serve per costruire una frode credibile: una fattura fasulla che sembra vera, una richiesta di cambio IBAN che arriva al momento giusto, con gli importi giusti, citando la controparte giusta. Non serve rubare una password. Basta scrivere la mail che il destinatario si aspetta di ricevere.

Nell'ecosistema attuale, i nostri dati non sono soltanto nei nostri computer. Sono distribuiti tra professionisti, fornitori cloud, software gestionali, banche, piattaforme e tutti gli altri soggetti con cui lavoriamo ogni giorno, spesso senza nemmeno ricordarci di averli scelti direttamente. È uno degli equivoci più diffusi dell'economia digitale, e anche uno dei più costosi: pensiamo di avere trasferito il rischio perché abbiamo trasferito i dati. Non funziona così, e il GDPR lo dice in modo esplicito.

Se il tuo commercialista tratta i tuoi dati come responsabile del trattamento, la responsabilità nei confronti degli interessati resta in capo a te come titolare. Un data breach a monte, presso il fornitore, può generare un obbligo di notifica a valle, verso il Garante e verso gli interessati, che è tuo, non del fornitore. E soprattutto può produrre conseguenze dirette sulla tua attività: phishing costruito con informazioni vere, false richieste di pagamento, sostituzioni di IBAN, social engineering ai tuoi clienti o dipendenti.

Il caso TeamSystem richiederebbe di considerare la notificare al Garante, ma prima di tutto ogni soggetto coinvolto di svolgere e documentare la propria valutazione del rischio, che è cosa diversa e altrettanto obbligatoria. In pratica significa verificare se e quali categorie di dati proprie sono transitate su Contabilità in Cloud, valutare la probabilità e la gravità del danno per gli interessati coinvolti, decidere se notificare, e conservare la traccia scritta di questa decisione.

Un titolare che si limita ad aspettare comunicazioni dal fornitore, senza avviare una propria valutazione autonoma, sta già violando l'articolo 33 del Regolamento.

Sul piano operativo, la lezione più immediata riguarda i pagamenti. Nessuna modifica di un IBAN dovrebbe mai essere accettata sulla base della sola mail ricevuta, per quanto possa sembrare autentica, per quanto citi importi e controparti reali. Ogni richiesta va verificata attraverso un secondo canale, già noto, già utilizzato in precedenza.

È una regola semplice, che nella maggior parte degli studi e delle imprese italiane semplicemente non esiste ancora sotto forma di procedura scritta.