Dva průniky přes prodejny Wind Tre zasáhly přes 365 tisíc zákazníků. Italský dozor vedle sociálního inženýrství zjistil nedostatečnou ochranu přístupových údajů a aplikačních rozhraní.

Shrnutí zveřejněné 10. listopadu popisuje rozhodnutí Garante ze 14. května 2026, kterým operátor dostal pokutu 1 715 600 eur. Incidenty firma oznámila v únoru 2025. Útočníci se vydávali za technickou podporu a přesvědčili zaměstnance dvou prodejen, aby jim umožnili vzdálený přístup k zařízením.

Získali identifikační a kontaktní údaje zákazníků. U 41 359 lidí byly dotčeny také informace o platbách, například IBAN nebo částečně zakrytá čísla platebních karet s expirací. Nedostatky v ochraně API umožnily velké množství požadavků a vytěžení dat; dosavadní bezpečnostní kontroly slabiny nezachytily.

Garante konstatoval porušení článků 5 odst. 1 písm. f) a 32 GDPR. Nařídil bezpečně ukládat certifikáty, chránit je před neoprávněným exportem a zlepšit správu hesel i vydávání, obnovování a odvolávání přístupových prostředků. O nápravě měla firma informovat do 30 dnů od oznámení rozhodnutí. Při určení pokuty úřad zohlednil také včasné ohlášení, spolupráci a přijatá opatření.

Případ ukazuje, proč se kontrola přístupů musí vztahovat i na prodejní síť: kompromitace jedné stanice nesmí bez dalších omezení umožnit hromadné čtení zákaznických údajů.