Le PEC sono arrivate agli indirizzi sbagliati: Postel avvisa, ma con un mese di ritardo

123rf

• Un errore tecnico ha deviato alcune PEC di Poste Italiane verso caselle ordinarie, esponendo messaggi e allegati a destinatari errati.
• Postel ha chiesto di cancellare le comunicazioni e confermare l'avvenuta eliminazione, ma la segnalazione è arrivata con forte ritardo.
• Mancano i numeri dell'incidente e resta il confronto con le regole GDPR, già rilevante dopo la sanzione da 900mila euro.

Un errore di configurazione dei sistemi ha fatto uscire dai binari della posta certificata alcuni messaggi partiti da caselle di Poste Italiane, che sono arrivati su indirizzi di posta ordinaria estranei alla comunicazione. La notizia è già abbastanza preoccupante così, ma c’è di peggio: in realtà questo caotico disastro risale allo scorso giusto, precisamente alle date tra il 18 e il 19.

Ma perché, allora, ne parliamo adesso? Perché solo in questi giorni Postel ha iniziato a contattare i destinatari accidentali, chiedendo di eliminare quei messaggi, possibilmente senza leggerli. Peccato però che tra l’incidente e l’avviso è passato oltre un mese e mezzo.

• L'errore e i domini coinvolti
• Cosa chiede la comunicazione arrivata agli utenti?
• I tempi obbligatori (non rispettati da Postel)

L’errore e i domini coinvolti

Per chi non lo sapesse, Postel è la società del gruppo Poste Italiane accreditata presso AgID come gestore qualificato di posta elettronica certificata. Il malfunzionamento ha riguardato messaggi in uscita dalle caselle dei domini @pec.bancoposta.it e @pec.posteitaliane.it, che hanno raggiunto caselle di posta elettronica ordinaria diverse da quelle previste.

La società ammette che quei messaggi possono contenere dati personali e informazioni riservate, sia nel corpo del testo sia negli eventuali allegati. Il canale scelto proprio per assicurare riservatezza e valore legale ha quindi consegnato corrispondenza altrui a sconosciuti.

Cosa chiede la comunicazione arrivata agli utenti?

Come dicevamo, è stato inviato un avviso ai destinatari accidentali, che chiede proprio di non aprire e non visualizzare i messaggi. Inoltre invita a cancellarli in via definitiva insieme agli allegati, a non conservarne copia, a non diffonderne il contenuto e a rispondere alla mail confermando di aver eseguito tutto.

Il problema è che identificare un messaggio recapitato per errore senza averlo aperto risulta impraticabile nella maggior parte dei casi, e a distanza di settimane le caselle di posta hanno già accumulato letture, archiviazioni, inoltri e copie sui client sincronizzati.

La richiesta di conferma scritta assume così i contorni di una tutela documentale per l’azienda più che di una misura utile a chi ha visto i propri dati circolare. C’è di più: la comunicazione resta generica su tutto ciò che permetterebbe di valutare la portata dell’incidente.

Mancano infatti il numero di caselle PEC coinvolte, il volume dei messaggi recapitati per errore e la platea di persone che si sono ritrovate dati altrui nella posta in arrivo. Resta aperto anche il nodo più rilevante per chi usa il servizio: dalla comunicazione non emerge se i titolari delle caselle mittenti, ovvero i soggetti convinti di comunicare in modalità certificata e riservata, siano stati informati dell’accaduto.

I tempi obbligatori (non rispettati da Postel)

Ma cosa dovrebbero fare le società, in casi del genere? Ecco, il regolamento europeo fissa parametri stringenti in materia: l’articolo 33 prevede la notifica all’autorità di controllo entro 72 ore dalla conoscenza della violazione, l’articolo 34 impone la comunicazione agli interessati senza ingiustificato ritardo quando il rischio per i diritti e le libertà risulta elevato.

Un mese e mezzo di distanza colloca la vicenda su una scala temporale differente. A questo si aggiunge il ruolo di gestore accreditato AgID, che sottopone Postel anche alle regole tecniche sulla posta elettronica certificata. C’è poi da aggiungere che proprio Posetl ha già incrociato il Garante privacy su questo terreno.

Con il provvedimento del 4 luglio 2024 l’Autorità ha applicato all’ente una sanzione da 900mila euro per l’attacco ransomware subito nell’agosto 2023, che aveva portato all’esfiltrazione dei dati di circa 25mila persone tra dipendenti, ex dipendenti, congiunti, candidati e rappresentanti di imprese partner, poi pubblicati sul dark web.

La vulnerabilità sfruttata dagli attaccanti era stata segnalata dal produttore del software e dall’Agenzia per la cybersicurezza nazionale con largo anticipo, senza che i sistemi venissero aggiornati. Oltre alla sanzione il Garante aveva imposto un’analisi straordinaria delle vulnerabilità e un piano di gestione con tempistiche di rilevamento e risposta commisurate al rischio. La gestione dell’episodio di giugno suggerisce che il capitolo sui tempi di reazione meriti ancora attenzione.