Responsabile protezione dati, il Garante sanziona 4 Comuni. Al via una nuova serie di controlli su una vasta platea di enti locali

Tratto da www.garanteprivacy.it – Newsletter del 06/02/2024
 
Con l’adozione di quattro provvedimenti [doc. web n. 9979112, 9979128, 9979152, 9979171] sanzionatori nei confronti di enti locali, il Garante Privacy ha concluso la prima fase dell’indagine avviata per verificare il rispetto dell’obbligo di comunicazione all’Autorità dei dati di contatto del Responsabile della protezione dei dati (RPD, o Data protection officer, DPO).

Ed è già al via una nuova serie di controlli indirizzati ad una platea ancora più ampia di Comuni che non hanno comunicato all’Autorità i dati di contatto del RPD.

Rilevata la violazione per la mancata comunicazione del RPD il Garante ha comminato a tre enti locali una sanzione di 2.000 euro ciascuno, mentre al quarto ha applicato una sanzione di 5.000 euro, maggiorata poiché l’inadempimento ha riguardato la nomina di due RPD.

In tutti i provvedimenti sanzionatori il Garante ha ricordato che, per essere in linea con il Regolamento Ue, se il titolare del trattamento dei dati personali è un soggetto pubblico, quali, ad esempio, amministrazioni dello Stato, Regioni, Province, Comuni, università, aziende del Servizio sanitario nazionale, è obbligato a designare un RPD e a comunicarne i dati di contatto al Garante privacy, attraverso l’apposita procedura messa a disposizione dall’Autorità sul suo sito.

L’obbligo della comunicazione, previsto nel Regolamento Ue, mira a garantire la possibilità per l’Autorità di garanzia di contattare in modo facile e diretto il RPD, figura che ha tra i suoi compiti anche quello di fungere da punto di riferimento fra il titolare (o responsabile) del trattamento e l’Autorità stessa.

6 Febbraio 2024

Pubblicata una vulnerabilità nella libreria Glibc

 
 
Tratto da www.kaspersky.it/blog
Redazione:  Editorial Team – 06/02/2024
 

Il 30 gennaio, alcuni ricercatori di sicurezza hanno pubblicato informazioni su una vulnerabilità scoperta di recente nella libreria glibc (GNU C Library) che potrebbe potenzialmente consentire agli hacker di elevare i propri privilegi sui sistemi Linux fino al livello di root. La libreria consente di effettuare chiamate di sistema e utilizzare funzioni di base del sistema, tra cui syslog e vsyslog, che vengono utilizzate per scrivere messaggi nel registro dei messaggi di sistema. La vulnerabilità è stata identificata con il codice CVE-2023-6246 e ha ricevuto un punteggio di 8,4 sulla scala CVSS v3.1. Nonostante il livello di questa minaccia non sia critico (è solo alto) esiste un’alta probabilità che venga sfruttata in attacchi su larga scala: Ceglibc è la principale libreria di sistema utilizzata da quasi tutti i programmi Linux.

Quali sistemi possono essere colpiti da CVE-2023-6246?

I ricercatori di Qualys che hanno scoperto la vulnerabilità hanno testato una serie di installazioni di sistemi basati su Linux e hanno identificato diversi sistemi vulnerabili: Debian 12 e 13, Ubuntu 23.04 e 23.10 e Fedora Linux dalle versioni 37 a 39. Tuttavia, gli esperti aggiungono che probabilmente anche altre distribuzioni potrebbero essere affette da questa vulnerabilità.

CVE-2023-6246 è presente nella versione 2.36 e precedenti della libreria. Gli sviluppatori di glibc hanno corretto la vulnerabilità nella versione 2.39 il 31 gennaio, un giorno dopo la pubblicazione della notizia.

Che cos’è la vulnerabilità CVE-2023-6246 e da dove proviene?

La vulnerabilità CVE-2023-6246 è legata a un buffer overflow della memoria dinamica e appartiene alla classe LPE (Local Privilege Escalation). In poche parole, un hacker che ha già accesso come utente a un sistema può utilizzare le chiamate di funzione vulnerabili per scalare i propri privilegi fino al livello di super-utente.

Questa vulnerabilità è stata aggiunta per la prima volta alla libreria nella versione 2.37 nell’agosto 2022, nel tentativo di risolvere una vulnerabilità meno pericolosa, la CVE-2022-39046. In seguito, gli sviluppatori della libreria hanno apportato le stesse modifiche alla versione 2.36.

Release di EndianOS 6.6.4 – Miglioramento della funzionalità – Oggetti di rete FQDN

Tratto da www.endian.com – 12/12/2023
 

In uno degli ultimi rilasci della versione 6.6.4 di EndianOS è stata aggiunta una nuova ed interessante funzionalità per ampliare il supporto degli oggetti di rete includendo gli FQDN (Fully Qualified Domain Name).

Questa nuova funzionalità migliora il precedente supporto per gli oggetti che includevano: sottoreti, indirizzi IP e intervalli di indirizzi IP.

Con questa nuova funzione è ora possibile creare un oggetto di rete e includere nomi di host (come ad esempio, siti web come www.yahoo.com) e quindi utilizzare questi oggetti all’interno di regole di routing di rete e firewall supportate.

In questo modo l’appliance Endian aggiungerà automaticamente i relativi indirizzi IP appartenenti a tali host e li includerà nelle impostazioni specificate.

Inoltre è stata aggiunta una funzione di memorizzazione degli indirizzi IP visti in precedenza per aumentare la compatibilità anche con siti complessi di bilanciamento del carico.

Per verificare le nuove potenzialità aggiornate la vostra appliance.

13 Dicembre 2023

Misure di sicurezza inadeguate: il Garante sanziona una Asl

 
Tratto da www.garanteprivacy.it – Newsletter del 23/10/2023
 

Sanzione del Garante privacy di 30.000 euro ad una Asl napoletana per non aver protetto adeguatamente da attacchi hacker i dati personali e i dati sanitari di 842.000 tra assistiti e dipendenti.

La struttura sanitaria aveva subito un attacco ransomware che attraverso un virus aveva limitato l’accesso al data base della struttura sanitaria e richiesto un riscatto per ripristinare il funzionamento dei sistemi.

Come previsto dalla normativa in materia protezione di dati personali, l’Asl aveva provveduto a comunicare il data breach al Garante che ha immediatamente aperto un’istruttoria sull’accaduto per verificare le misure tecniche e organizzative adottate dalla Asl sia prima che dopo l’attacco subito.

Diverse le importanti criticità rilevate dal Garante a seguito dell’attività ispettiva, come la mancata adozione di misure adeguate a rilevare tempestivamente la violazione dei dati personali e a garantire la sicurezza delle reti, anche in violazione del principio della protezione dei dati fin dalla progettazione (privacy by design). L’accesso alla rete tramite vpn avveniva infatti mediante una procedura di autenticazione basata solo sull’utilizzo di username e password. Inoltre, la carenza di segmentazione delle reti aveva causato la propagazione del virus all’intera infrastruttura informatica.

Nel sanzionare l’illecito il Garante ha tenuto conto del fatto che il data breach ha riguardato dati idonei a rilevare informazioni sulla salute di un numero molto rilevante di interessati, ma anche dell’atteggiamento non intenzionale e collaborativo della Asl. Dopo l’accaduto, l’azienda ha adottato una serie di misure volte non solo ad attenuare il danno subito dagli interessati, ma anche a ridurre la replicabilità dell’evento stesso, tra le quali l’attivazione di una procedura di accesso alla rete tramite vpn con doppio fattore di autenticazione.

24 Ottobre 2023

Conflitto in Israele: scoperte le prime campagne di truffe informatiche

 
 
 

Tratto da www.lineaedp.it – 18/10/2023

Autore: Redazione LineaEDP

Le campagne utilizzano phishing, enti di beneficenza fittizi e appelli dei rifugiati per derubare gli utenti

I criminali informatici stanno sfruttando il conflitto in Israele con Gaza per trarre vantaggi finanziari sfruttando la solidarietà degli utenti: lo annuncia oggi Bitdefender pubblicando i risultati delle truffe informatiche attualmente in corso e legate al conflitto in Israele che stanno utilizzando phishing, enti di beneficenza fittizi e appelli dei rifugiati per derubare, di fatto, gli utenti.

Bitdefender raccomanda la massima prudenza nell’aprire email con richieste di aiuto e nel visitare i siti di beneficenza, poiché i rischi legati a perdite finanziarie e attività fraudolente sono in questo momento molto elevati.

  • A partire dal 13 ottobre – (meno di una settimana dopo l’attacco di Hamas) – Bitdefender ha iniziato a osservare campagne di truffa via email per soccorrere la popolazione e aiutare i rifugiati.
  • ll 27% dello spam colpisce la Russia, seguita da Svezia (15%) e Romania (10%). Ma Bitdefender avverte che i criminali informatici potrebbero presto concentrarsi su altri Paesi.

Di seguito sono riportati alcuni esempi di come i criminali informatici stiano cercando di sfruttare il conflitto in Israele:

Conflitto in israele-truffe hacker

Mentre il conflitto in Israele prosegue, Bitdefender prevede che questo tipo di email fraudolente sarà recapitato con cadenza regolare nelle caselle di posta degli utenti di tutto il mondo e che i truffatori continueranno ad adattare le loro “storie” e le loro richieste di donazione in linea con le ultime notizie e gli aggiornamenti sul conflitto.

Per non farsi ingannare da queste truffe e proteggere le proprie finanze Bitdefender raccomanda di:

– Verificare con attenzione tutte le comunicazioni relative alla guerra, sia via email, telefono, sms o social media.

– Eseguire sempre delle ricerche sull’organizzazione prima di effettuare qualsiasi pagamento: le richieste di donazione in criptovalute, i bonifici bancari e le carte regalo sono un segnale di pericolo e vanno quindi sempre evitate.

– Non rispondere mai a email non richieste che potrebbero essere una truffa. In caso di risposta i truffatori avranno la conferma della validità dell’indirizzo email e continueranno a inviare ulteriori messaggi truffaldini.

19 Ottobre 2023

Blog & News

Categorie