Responsabile privacy condannato per aver nascosto un attacco informatico

Una sentenza emessa da un tribunale di San Francisco ha stabilito un importante precedente nel campo della cybersicurezza e della responsabilità aziendale. L’ex responsabile della sicurezza di Uber, Joseph Sullivan, è stato condannato per aver deliberatamente nascosto alle autorità un grave attacco informatico avvenuto nel 2016, che ha compromesso i dati personali di 57 milioni di persone, tra utenti e autisti della piattaforma.

La vicenda: l’attacco informatico del 2016

Nel 2016, due hacker riuscirono ad accedere ai server di Uber ospitati su un servizio cloud. Utilizzando le credenziali ottenute, scaricarono un archivio contenente dati sensibili di milioni di persone. Le informazioni sottratte includevano:

• Nomi e cognomi
• Indirizzi email
• Numeri di telefono
• Numeri di patente di circa 600.000 autisti statunitensi

Dopo aver sottratto i dati, i criminali informatici contattarono la dirigenza di Uber, chiedendo un riscatto di 100.000 dollari in Bitcoin per non divulgare le informazioni e distruggere le copie in loro possesso.

Il tentativo di insabbiamento e le accuse

Invece di notificare l’incidente alle autorità competenti, come la Federal Trade Commission (FTC) che in quel periodo stava già indagando su un precedente caso di violazione dati dell’azienda, il responsabile della sicurezza decise di gestire la questione internamente e in segreto. L’accusa ha dimostrato che il manager autorizzò il pagamento del riscatto mascherandolo come una ricompensa legittima all’interno del programma di “bug bounty” dell’azienda, un sistema che premia i ricercatori di sicurezza che scoprono e segnalano vulnerabilità. In questo modo, l’attacco informatico fu presentato come una semplice ricerca di sicurezza, nascondendo la sua reale natura di estorsione e furto di dati. Per questi motivi, il manager è stato condannato per ostruzione alla giustizia e per non aver denunciato il reato.

Le conseguenze per l’azienda e il manager

La strategia di occultamento non ha retto a lungo. Quando una nuova dirigenza è subentrata in Uber nel 2017, la vicenda è emersa, portando al licenziamento del responsabile e alla piena collaborazione con le autorità. L’azienda ha dovuto affrontare le conseguenze legali ed economiche della gestione inadeguata dell’incidente, patteggiando nel 2018 un risarcimento di 148 milioni di dollari con i 50 stati americani per non aver notificato tempestivamente la violazione ai consumatori coinvolti. La condanna penale del singolo dirigente rappresenta un punto di svolta, stabilendo che le figure apicali possono essere ritenute personalmente responsabili delle loro decisioni in materia di sicurezza informatica.

Cosa significa questa sentenza per i consumatori

Questa decisione giudiziaria ha implicazioni dirette e positive per la tutela dei consumatori e dei loro dati personali. La possibilità che i dirigenti affrontino conseguenze penali individuali per aver nascosto una violazione dei dati costituisce un forte deterrente contro comportamenti omertosi e poco trasparenti. Per i cittadini, questo si traduce in una maggiore protezione e in diritti più solidi. I principali benefici includono:

• Maggiore trasparenza: Le aziende saranno più incentivate a notificare tempestivamente gli attacchi informatici, permettendo ai consumatori di adottare misure protettive come il cambio delle password o il monitoraggio dei propri account.
• Responsabilità individuale: La sentenza chiarisce che la responsabilità non è solo dell’entità aziendale, ma anche delle persone fisiche che prendono decisioni strategiche.
• Rafforzamento del diritto alla notifica: Viene ribadita l’importanza del diritto degli utenti a essere informati quando i loro dati sono a rischio, un principio cardine di normative come il GDPR in Europa.
• Incentivo a una sicurezza più robusta: Il rischio di un processo penale spinge le aziende a investire maggiormente in sistemi di sicurezza efficaci e in procedure di gestione degli incidenti corrette e conformi alla legge.

In conclusione, la condanna del responsabile della sicurezza di Uber segna un passo fondamentale verso una maggiore accountability nel settore digitale. Obbliga le aziende e i loro manager a trattare la protezione dei dati personali non solo come un obbligo legale, ma anche come una responsabilità etica e penale.

Per assistenza o per segnalare il tuo caso, contatta Sportello Consumatori.

Contattaci su WhatsApp