Una comunicazione ufficiale di Trenitalia ha messo in allarme migliaia di clienti: i loro dati personali, legati all’acquisto di titoli di viaggio, sono stati oggetto di una violazione. L’azienda ha precisato che non risultano coinvolti dati di pagamento né credenziali di accesso, ma gli esperti di sicurezza informatica vedono in questo incidente un rischio ben più insidioso di un semplice furto di numeri di carta.
Dati esposti: più pericolosi di quanto sembri
Quando si parla di violazione dati, l’attenzione si concentra spesso su password e informazioni finanziarie. Eppure, l’insieme di dati personali come nome, cognome, indirizzo email, numero di telefono e dettagli sui viaggi effettuati (date, tratte, orari) può diventare un’arma potentissima nelle mani dei cybercriminali. Non si tratta di dati “di secondo piano”: consentono di costruire profili dettagliati e di orchestrare attacchi su misura, molto più credibili di un generico tentativo di phishing.
Phishing personalizzato: l’arma del furto d’identità
Il vero timore degli esperti è il phishing mirato, o spear phishing. Immaginate di ricevere un’email che sembra provenire da Trenitalia, con il vostro nome, il riferimento a un viaggio realmente effettuato e la richiesta di “verificare i dettagli dell’account” a causa dell’incidente. La probabilità che un utente abbocchi è altissima. Da lì, i malintenzionati possono sottrarre credenziali, installare malware o raccogliere ulteriori dati per un furto d’identità completo. Non servono dati bancari quando si può ingannare la vittima per ottenerli in seguito.
Cosa significa per chi legge
Se siete clienti Trenitalia, la cautela non è mai troppa. Innanzitutto, monitorate le comunicazioni che ricevete: diffidate di email o SMS che vi invitano a cliccare su link per “aggiornare i dati” o “confermare l’account”, anche se sembrano provenire da fonti ufficiali. Verificate sempre il mittente reale e, nel dubbio, accedete al vostro profilo dal sito ufficiale digitando l’indirizzo nel browser. Infine, attivate l’autenticazione a due fattori su tutti i servizi che lo consentono: un piccolo passo che alza enormemente l’asticella per i malintenzionati. La sicurezza dei dati non dipende solo dall’azienda, ma anche dalla consapevolezza di ciascuno di noi.