Stefano Gazzella : 30 Agosto 2025 09:00
Il caso recente dei documenti rubati degli hotel fa pensare a quanti documenti effettivamente circolino nel dark web, nonostante la possibilità di crearne con l’intelligenza artificiale. Questo significa che è più facile ottenerli che crearli. E forse sono anche più utili.
Ma forse bisogna riflettere e farsi una domanda dirimente: come mai ne circolano così tanti e tanto facilmente?
Insomma: andiamo oltre le facili(ssime) speculazioni sui vari colabrodi di sicurezza che si vedono in giro e vengono ampiamente tollerati. Logica vuole che qualcuno li abbia raccolti e non sia stato in grado di proteggerli.
 Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Benissimo: facciamo un passo indietro, skippiamo al momento ogni commento e riflessione su quel non in grado, e affrontiamo l’amara considerazione di constatare che più di qualcuno li ha raccolti e conservati. E dunque chiediamoci: sentivamo proprio il bisogno di questa raccolta e conservazione?
Che, tradotto in GDPR-ese, suona come: le attività di trattamento di raccolta e conservazione di quei documenti sono lecite? Dubito. Ed ecco che da una violazione della privacy (o della normativa di protezione dei dati personali) segue un problema di sicurezza. E scopriamo che “senza privacy non può esserci sicurezza e viceversa” non era proprio una punchline.
Nel settore dell’hospitality, la registrazione degli ospiti è un obbligo ma non quello di acquisire copia dei documenti. Men che meno è previsto da qualche parte che debbano essere inviate via WhatsApp, e-mail o form online foto o scansioni dei documenti.
La legge applicabile è il TULPS, ed in particolare l’art. 109:
Nessun obbligo di acquisizione dei documenti. Il servizio del portale web alloggiati non prevede solo l’inserimento dei dati relativi al documento per la formazione delle schede su ciascun alloggiato per la trasmissione alle autorità competenti di polizia. Insomma: si raccolgono gli estremi dei documenti e non la copia degli stessi.
La raccolta delle copie dei documenti è un problema privacy risolto solo nella forma e non nella sostanza.
Il Garante Privacy già nel 2005 si era espresso sull’identificazione dei clienti e l’acquisizione di documenti in copia da parte di banche e uffici postali, distinguendo la necessità di identificare un interessato dalle modalità con cui ciò avviene.
L’identificazione può avvenire sia per obblighi normativi che per esigenze contrattuali o precontrattuali, e consiste in un’attività di trattamento una tantum. Quel che rileva è la modalità con cui tale identificazione avviene, che deve rispondere alle circostanze del caso ed essere proporzionata.
La richiesta di produrre una copia del documento di riconoscimento e la sua conservazione, è invece lecita solo se sussiste una disposizione normativa che lo preveda (indicando anche la tempistica di conservazione).
Cosa che non cambia con il GDPR. Anzi. Certo, forse sarebbe il caso di avere delle linee guida a questo punto. Fatto sta che il Garante Privacy ha avviato delle verifiche e, in seguito alle notifiche di data breach, anticipato che avrebbe adottato le misure di tutela urgente. Vedremo cosa accadrà e se ci sarà un riepilogo delle indicazioni in questo ambito.
Fra l’altro, il Garante polacco (UODO) in un recente comunicato del 26 agosto ha dato notizia di aver sanzionato una banca per 4 milioni di euro per aver acquisito copie scansionate dei documenti di identità di clienti e potenziali clienti in assenza di una base giuridica valida nell’ambito di adempimenti antiriciclaggio (AML). Peccato che il solo citare finalità antiriciclaggio non sia sufficiente, dal momento che occorre una motivazione fondata su una valutazione di rischio individuale del cliente.
Facile: il vero sballo è dire no. Ok, forse non è proprio uno sballo.
Meglio chiedere di indicare su quale prescrizione di legge siamo obbligati a farlo.
Fra l’altro, visto lo storico di incidenti di sicurezza e notizie sempre fresche è decisamente più facile dirsi particolarmente prudenti e chiedere alternative rispetto alla copia, o peggio, all’invio di documenti.
La privacy e la sicurezza dei nostri dati non vanno mai in vacanza, quindi il discorso vale non solo per gli hotel ma per chiunque ci chieda di inviare i nostri documenti in copia.
Ma bisogna agire per una tutela attiva dei propri dati personali.
Anche se significa passare per rompic fissati.
Better safe than sorry.
Stefano GazzellaLa campagna su larga scala TamperedChef sta nuovamente attirando l’attenzione degli specialisti, poiché gli aggressori continuano a distribuire malware tramite falsi programmi di installazione di a...
Una vulnerabilità di tipo authentication bypass è stata individuata in Azure Bastion (scoperta da RHC grazie al monitoraggio costante delle CVE critiche presente sul nostro portale), il servizio g...
Microsoft ha reso nota una vulnerabilità critica in SharePoint Online (scoperta da RHC grazie al monitoraggio costante delle CVE critiche presente sul nostro portale), identificata come CVE-2025-5924...
Il Segretario Generale del Garante per la protezione dei dati personali, Angelo Fanizza, ha rassegnato le proprie dimissioni a seguito di una riunione straordinaria tenuta questa mattina nella sala Ro...
Un impiegato si è dichiarato colpevole di aver hackerato la rete del suo ex datore di lavoro e di aver causato danni per quasi 1 milione di dollari dopo essere stato licenziato. Secondo l’accusa, i...
