I miei dati sono stati rubati.
Cosa faccio adesso?

Cosa vuol dire che i miei dati sono stati rubati?

Mi è arrivata un'email: «i tuoi dati sono stati coinvolti in una violazione». È vera?

Può essere vera, ma non fidarti dei link che contiene. Dopo ogni fuga di dati famosa arrivano anche avvisi falsi, scritti per sembrare quello vero. Il controllo dura due minuti:

1. Apri tu il sito o l'app del servizio, scrivendo l'indirizzo o dal segnalibro, e cerca lì la comunicazione. Oppure chiama il numero che hai già, non quello dell'email.
2. Un avviso vero ti spiega che cosa è successo, quali conseguenze può avere per te, cosa ha fatto l'azienda e a chi puoi chiedere, di solito anche quali dati sono coinvolti. Sia la legge svizzera sia quella europea chiedono di scriverlo in una lingua semplice.
3. Un avviso vero non ti chiede la password, i dati della carta, un codice o un pagamento «per proteggere l'account». Se lo fa, è un falso.
4. Hai solo un dubbio sul link? Controlla l'indirizzo gratis su sito-ok.com prima di aprirlo.

Cosa possono fare con i miei dati?

Quasi sempre li usano per ingannarti meglio, non per entrare subito nel tuo conto. Tre cose succedono più spesso:

1. Phishing su misura: l'SMS, l'email o il WhatsApp ti chiama per nome e cita il tuo ordine, la tua prenotazione, il tuo club. Sembra vero perché i dati sono veri.
2. Telefonate che sanno tutto: un finto impiegato della banca, un finto consulente della cassa pensioni, un finto poliziotto che conosce indirizzo, data di nascita, a volte salario e averi. Lo usa per farti fidare.
3. Furto d'identità: con la copia di un documento, un selfie o tanti dati messi insieme, qualcuno prova ad aprire un conto, un abbonamento o un acquisto a rate a tuo nome. È più raro, ma è il danno più lungo da sistemare.

I casi veri raccontati sul sito, tutti con le fonti e da ascoltare. Tutti gli articoli sul tema sono nella categoria del sito sulle fughe di dati (Data breach).

Come so se i miei dati sono nel dark web?

Per la tua email c'è un controllo gratuito: passwordrubata.com. Scrivi l'indirizzo, nessuna password, e ti dice se compare in fughe di dati conosciute. Fallo anche per le email dei figli e per quella che usi solo per i negozi online.

Hai un'azienda con più caselle email? Un controllo ogni tanto non basta: per questo, partendo da una mia idea, abbiamo creato CybeTower Radar, che tiene monitorate le caselle aziendali e ti avvisa quando un indirizzo compare in una fuga di dati. Come funziona è spiegato in I miei dati sono nel dark web?.

Due cose da sapere. Se il controllo gratuito trova qualcosa, ti dice quale servizio ha perso i dati: cambia la password lì e ovunque l'avevi riusata. Se non trova niente, non vuol dire che sei al sicuro per sempre: molte fughe si scoprono mesi dopo, e indirizzo o telefono non sempre sono legati alla tua email. Come funziona il dark web e cosa c'è in vendita è spiegato in I miei dati sono nel dark web?

Cosa faccio subito? Dipende dal dato

Leggi nell'avviso quali dati sono usciti e segui solo le schede che ti riguardano. Se l'avviso non lo dice, chiedilo all'azienda: hai il diritto di sapere quali dati tuoi conserva. Se preferisci, fai questi controlli con un familiare: la maggior parte richiede pochi minuti.

In Svizzera, se temi che qualcuno abbia fatto ordini o contratti a tuo nome, puoi chiedere all'ufficio di esecuzione competente per il tuo domicilio un estratto del registro delle esecuzioni: mostra se qualcuno ha avviato un'esecuzione contro di te. In Italia un contratto o un finanziamento che non hai firmato si contesta per iscritto all'azienda, con la copia della denuncia.

Quali truffe arrivano dopo una fuga di dati?

Sempre le stesse, con un dettaglio vero in più. Nei casi raccontati sul sito sono arrivati:

• il messaggio «del servizio» che chiede di confermare un pagamento o la prenotazione con un link (Ricardo, campeggi TCS, gli hotel prenotati su Booking.com);
• il finto rimborso «direttamente su TWINT», che porta a una finta pagina della banca;
• il falso consulente che conosce i tuoi averi previdenziali e ti propone di investirli;
• la richiesta di «aggiornare» l'IBAN per ricevere una prestazione o un rimborso;
• l'email «dal supporto informatico» della scuola o del club, che cita un problema vero e chiede la password.

Le forme del phishing di oggi, con i segnali per riconoscerlo, sono nella guida Phishing.

La mia azienda ha perso dati dei clienti: cosa devo fare per legge?

Dipende da dove sei e da quanto è alto il rischio per le persone. Qui sotto gli obblighi principali, letti sui testi ufficiali. È informazione generale, non una consulenza: per il tuo caso concreto, e prima di scrivere ai clienti, parla con un avvocato o con il tuo responsabile della protezione dei dati.

In Svizzera: l'IFPDT, e a volte l'UFCS

• Avvisa l'IFPDT quanto prima. La legge federale sulla protezione dei dati del 2020, in vigore dal 1° settembre 2023, chiede di notificare all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ogni violazione che comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali delle persone. Non c'è un numero di ore: «quanto prima». La notifica si fa sul portale dell'IFPDT e dice almeno che cosa è successo, le conseguenze e le misure prese o previste. Se non sai ancora tutto, si completa dopo.
• Avvisa i clienti se serve a proteggerli, o se te lo chiede l'IFPDT. In alcuni casi si può limitare, rinviare o non fare se è impossibile o sproporzionato, o se una comunicazione pubblica informa le persone allo stesso modo.
• Se l'attacco ha colpito un tuo fornitore, la legge chiede a lui di avvisarti quanto prima. L'obbligo di notificare resta a te, che rispondi dei dati verso i clienti (il titolare del trattamento).
• Scrivi tutto. Ogni violazione va documentata, anche quella che non notifichi: che cosa è successo, le conseguenze, cosa hai fatto. La documentazione si conserva per almeno due anni.
• Enti cantonali e comunali seguono la legge sulla protezione dei dati del proprio cantone: la legge federale vale per i privati e per gli uffici della Confederazione.

Infrastrutture critiche: segnalazione all'UFCS entro 24 ore. Dal 1° aprile 2025 la legge federale sulla sicurezza delle informazioni del 2020 obbliga alcune organizzazioni a segnalare all'Ufficio federale della cibersicurezza (UFCS) i ciberattacchi entro 24 ore dalla scoperta; se mancano informazioni, l'UFCS concede 14 giorni per completare. Vale fra gli altri per autorità federali, cantonali e comunali, scuole universitarie, energia, acqua e rifiuti, banche e assicurazioni, ospedali sulla lista cantonale, chi copre malattia, infortuni, vecchiaia e invalidità, trasporti, posta, telecomunicazioni, fornitori di cloud e centri di calcolo con sede in Svizzera, e, a certe condizioni, produttori di hardware e software usati dalle infrastrutture critiche. Alcune piccole organizzazioni sono esentate, con soglie diverse per settore: per esempio laboratori medici, aziende di medicinali, servizi postali e fornitori di beni di prima necessità con meno di 50 persone e al massimo 10 milioni di franchi di cifra d'affari o di bilancio. Controlla sul sito dell'UFCS se il tuo settore ha un'esenzione. Si segnala un attacco che blocca il servizio, che porta a una fuga o a una manipolazione di informazioni, che è rimasto nascosto a lungo, o che è legato a un'estorsione. Se non sai se ti riguarda, puoi chiederlo all'UFCS: informazioni sull'obbligo di segnalare.

Una piccola impresa che non è in quell'elenco non ha l'obbligo verso l'UFCS, ma può segnalare l'attacco volontariamente, anche in forma anonima. E con il tuo consenso l'IFPDT può inoltrare la tua notifica all'UFCS, per l'analisi dell'incidente.

In Italia: il Garante entro 72 ore

• Notifica al Garante entro 72 ore, quando possibile. Il GDPR, il regolamento europeo sulla protezione dei dati del 2016, chiede di notificare la violazione al Garante per la protezione dei dati personali senza ingiustificato ritardo e, dove possibile, entro 72 ore da quando ne sei venuto a conoscenza. Non serve solo se è improbabile che ci sia un rischio per le persone. Se notifichi dopo le 72 ore, devi spiegare il motivo del ritardo. La notifica si fa online, dalla pagina del Garante sulle violazioni di dati.
• Avvisa le persone se il rischio è elevato, senza ingiustificato ritardo e con un linguaggio semplice. Non serve se i dati erano cifrati e illeggibili, se hai già fatto in modo che il rischio elevato non si verifichi, o se scrivere a ognuno sarebbe sproporzionato: in quel caso si fa una comunicazione pubblica.
• Documenta ogni violazione, anche quelle che non notifichi: il Garante può chiederti di vedere cosa hai deciso e perché.

Un'azienda svizzera con clienti in Italia può dover rispettare entrambe le leggi: il GDPR vale anche per chi non ha sede nell'Unione europea, se offre beni o servizi a persone che vi si trovano. Una stessa violazione può richiedere sia la notifica all'IFPDT, per la legge svizzera, sia quella al Garante, per il GDPR: conviene capirlo prima, non durante un incidente.

Le prime ore, in pratica

1. Ferma la perdita: cambia le password degli accessi coinvolti, chiudi l'accesso del fornitore se l'attacco viene da lì, scollega il computer colpito.
2. Annota l'ora in cui l'hai scoperto: da lì partono le 72 ore in Italia e le 24 ore per chi deve segnalare all'UFCS.
3. Capisci quali dati e di chi: clienti, dipendenti, minorenni, dati sulla salute o sui conti. Da qui dipende il rischio, e quindi chi devi avvisare.
4. Denuncia alla polizia se c'è stato un attacco o un ricatto. Non pagare riscatti per «far cancellare» i dati: nessuno può garantire che lo facciano davvero.
5. Prepara un messaggio semplice per i clienti: cosa è successo, quali dati, cosa non chiederai mai (password, codici, cambi di IBAN per email), a quale numero possono verificare.

Dove segnalo una fuga di dati o una truffa?

1. In Svizzera: all'Ufficio federale della cibersicurezza (UFCS) con il modulo online di segnalazione: scegli il tipo di caso e descrivi cosa è successo, bastano pochi minuti. Se hai perso soldi o qualcuno usa i tuoi dati, la denuncia si fa alla polizia cantonale, anche di persona. Se pensi che un'azienda non abbia protetto i tuoi dati o non ti risponda, puoi rivolgerti all'IFPDT.
2. In Italia: alla Polizia Postale, con le segnalazioni online del Commissariato di P.S., oppure con una denuncia in un ufficio della Polizia Postale o in questura. Se un'azienda non ha protetto i tuoi dati o non risponde alle tue richieste, puoi presentare un reclamo al Garante per la protezione dei dati personali.

Conserva le prove: l'avviso dell'azienda, i messaggi sospetti, i numeri che ti hanno chiamato, le date. Servono alla polizia e, se un giorno dovrai contestare un contratto, servono a te.