DeA Scuola, sottratti i dati di una parte degli utenti

“Gentile Utente, Con la presente ti informiamo che siamo venuti a conoscenza di una possibile violazione dei dati personali (un cosiddetto “data breach”) presenti nel portale “deascuola.it”. Stiamo svolgendo accurate indagini interne, tuttavia non possiamo escludere un eventuale data breach che potrebbe comportare eventuali furti d’identità, attività di phishing o l’accesso non autorizzato al portale o ad altri siti Internet in cui sono state utilizzate le medesime username e password utilizzate nel portale”. Così inizia la mail che centinaia di utenti hanno ricevuto oggi da DeA Scuola, la divisione di De Agostini che si occupa di didattica, libri di testo e che ha anche sviluppato una popolare piattaforma per la Dad. L'avviso arriva nove giorni dopo la pubblicazione su Twitter di uno screenshot con una lista di mail e un messaggio: “Ho appena scaricato i database di deascuola.it. Ci sono 250 mila combinazioni di mail e password. Scrivetemi in privato se le volete”. Su Twitter è nata una breve discussione, l’azienda tramite il suo account ufficiale, il 5 gennaio ha risposto così: “La nostra società presta da sempre la massima attenzione alla tutela della privacy dei propri utenti ed il nostro team IT è al lavoro da ieri per analizzare i problemi legati al leak e risolverli nel più breve tempo possibile”. Grazie @marcogovoni, @michele_pinassi e @giordi63La nostra società presta da sempre la massima attenzione alla tutela della privacy dei propri utenti ed il nostro team IT è al lavoro da ieri per analizzare i problemi legati al leak e risolverli nel più breve tempo possibile.— De Agostini Scuola (@DeAScuola) January 5, 2021 La frase è stata poi ripresa nella comunicazione odierna: ”La nostra società presta da sempre la massima attenzione alla tutela della privacy, con particolare riferimento all’adozione di misure di sicurezza conformi ai più alti standard di mercato, nonché a quanto richiesto dalla normativa sulla protezione dei dati personali, per evitare incidenti di sicurezza che comportino, in via accidentale o illecita, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali da noi trattati”. I dati personali potrebbero includere in questo caso anche i nomi di chi usufruisce della piattaforma Dad, e dunque si tratterebbe di minori. Potrebbero esserci codici fiscali e indirizzi, e istituti scolastici, e chissà che altro. Dati ai quali peraltro molti utenti non riescono nemmeno più ad accedere, perché nel frattempo l’azienda ha resettato le password: “Abbiamo resettato la tua password - si legge infatti nella mail - e, al prossimo accesso al portale “deascuola.it”, ti sarà chiesto di scegliere una nuova password. Inoltre, come ulteriore misura precauzionale, ti invitiamo a modificare username e password di accesso ad altri siti web, applicazioni o servizi digitali qualora dovessero corrispondere a quelle utilizzate per accedere al nostro portale”. Quest’ultimo avviso è abbastanza preoccupante, perché lascia sorgere il sospetto che i dati fossero conservati in chiaro, ossia senza essere stati cifrati prima: chi riuscisse a entrare nel database che li contiene, potrebbe utilizzarli così come sono, senza doversi nemmeno sforzare a cercare la chiave di decodifica. Ora, non è detto che sia davvero questo il caso, ma l’avvertimento va preso sul serio: chiunque utilizzi la stessa password impiegata per accedere al portale deascuola.it anche su altri siti o piattaforme, farebbe bene a cambiarla il prima possibile. L’attacco a deascuola arriva qualche giorno dopo quello a ho.mobile, l’operatore telefonico low cost di Vodafone, dove sono stati sottratti i dati di centinaia di migliaia di utenti. In entrambi i casi, le aziende sono state costrette da dare comunicazione dell’avvenuto attacco in ottemperanza alle nuove regole del GDPR, che obbliga gli utenti a informare di eventuali attacchi che potrebbero comportare il furto di dati personali. Abbiamo chiesto un commento a De Agostini e siamo in attesa di una risposta.