Un grave attacco informatico ha colpito InfoCert, tra i principali fornitori di Spid e servizi di identità digitale in Italia. Sono stati sottratti oltre 5,5 milioni di dati personali, successivamente messi in vendita sul dark web. L’attività illecita sarebbe avvenuta a danno di un fornitore terzo, senza compromettere direttamente i sistemi di InfoCert, come precisato dall’azienda in una nota ufficiale.
Dati sottratti a InfoCert e messi in vendita sul dark web
L’attacco è stato scoperto il 27 Dicembre scorso, quando è comparso su BreachForums un annuncio per la vendita dei dati al prezzo di circa 1.400 euro. Tra le informazioni rubate figurano 1,1 milioni di numeri di telefono e 2,5 milioni di indirizzi email. Per dimostrare l’autenticità dei dati, i cybercriminali hanno diffuso una parte di essi come anteprima. InfoCert ha rassicurato che nessuna password o credenziale di accesso ai servizi è stata compromessa.
Le conseguenze e le preoccupazioni per gli utenti
InfoCert, parte del gruppo Tinexta, è uno dei principali provider accreditati dall’Agenzia per l’Italia Digitale per i servizi Spid, PEC e firma digitale. Nonostante il regolamento europeo eIDAS definisca le linee guida per la sicurezza dei servizi digitali, non impone requisiti specifici per i fornitori terzi. Questo lascia margini di vulnerabilità per gli attacchi indiretti.
L’incidente evidenzia la necessità di rafforzare la sicurezza informatica, non solo sui sistemi diretti ma anche lungo tutta la filiera dei fornitori. InfoCert ha ribadito il suo impegno nella gestione dei rischi operativi, ma l’attacco solleva interrogativi sulla protezione dei dati personali nel contesto digitale, soprattutto quando si tratta di servizi essenziali come lo Spid.