Il fornitore di servizi informatici Xplain è stato recentemente colpito da un attacco ransomware che ha portato alla pubblicazione di dati sensibili sul dark web. Tra i dati sottratti è stato rilevato anche un estratto del sistema d’informazione HOOGAN, risalente a otto anni fa, che contiene informazioni su persone che hanno commesso atti violenti in occasione di manifestazioni sportive in Svizzera e all’estero. L’Ufficio federale di polizia fedpol, uno dei clienti di Xplain, sta lavorando per analizzare i dati a sua disposizione e individuare i rischi al fine di adottare le misure necessarie.
Il documento XML pubblicato nel dark web contiene i dati di 766 persone, che risultavano registrate nel sistema d’informazione HOOGAN nel settembre 2015. Fedpol sta ancora cercando di chiarire le condizioni e le circostanze in cui il documento è stato trasmesso a Xplain ed è rimasto tra i suoi record.
Nonostante il fatto che il documento si trovi tra quelli pubblicati, ciò non ha alcuna ripercussione sull’attuale impiego operativo del sistema d’informazione. Fedpol non ha esternalizzato dati all’azienda né incaricato l’azienda di gestire i sistemi d’informazione. I sistemi d’informazione gestiti da fedpol, così come la relativa conservazione dei dati, sono amministrati all’interno di un’infrastruttura sicura della Confederazione.
Le persone interessate saranno informate direttamente da fedpol, che ha già predisposto un modulo d’informazione per verificare se il proprio nome è presente nell’estratto HOOGAN sottratto e pubblicato. Fedpol si prende molto sul serio l’attacco ransomware contro Xplain e le sue conseguenze, e tiene fede alle sue responsabilità di detentore dei dati.
Nel rispetto del principio della trasparenza, fedpol ha deciso di informare anche l’opinione pubblica per mezzo di un comunicato stampa, ogni qualvolta questo furto di dati riguardi nella stessa misura i dati di un gran numero di persone e sussistano fatti accertati. A tal fine fedpol tiene conto delle esigenze in materia di protezione dei dati, dei diritti della personalità e dei diritti procedurali.
La pubblicazione di contenuti sensibili di qualsiasi provenienza è controproducente per la protezione dei diritti della personalità e la sicurezza. Un’ulteriore divulgazione dei dati pubblicati illegalmente può addirittura costituire una nuova fattispecie penale.
