Si possono sopportare i ritardi epocali dell’Alta Velocità e persino le soppressioni non preannunciate di convogli secondari. Si possono digerire i biglietti il cui costo – come nelle aste per l’aggiudicazione di opere d’arte – arriva a raddoppiare con l’avvicinarsi della partenza. Si può non far caso alla scomparsa delle romantiche sale d’aspetto e delle panchine lungo i binari e anche le toilette dove se non hai monete o carta di credito te la devi fare addosso…
Abbiamo imparato a tollerare tutto, ma non le prese per i fondelli.
La crescente presenza di soggetti che si sono fatti applicare piercing non significa che molti italiani abbiano l’anello al naso.
La storia degli hacker che hanno assaltato la diligenza virtuale delle Ferrovie dello Stato ricorda i banditi che nei film western inseguono la carovana e saccheggiano i malcapitati portando via quel che di prezioso indossano o hanno nel bagaglio. I criminali sono avvantaggiati dall’avere cavalli più veloci e dal non mancare di coraggio e capacità di agire per raggiungere il risultato.
In questo caso il bersaglio non è quello che corre (si fa per dire) sui binari, ma quello raggiungibile sulle strade elettroniche in cui si muovono informazioni preziose.
I malfattori non possono certo aspettare ore ed ore un treno che non si sa quando arriva. Oltre alla noia mortale dell’attesa animata solo dall’incrementare dei numeri dei minuti e delle ore man mano accumulati, c’è il rischio di imbattersi in orde di pendolari e di viaggiatori incazzati come iene… Meglio prendersela con i sistemi informatici, specie se poco protetti e quindi facili da depredare.
A novembre del 2025, non proprio ieri, chi gestisce procedure e archivi per conto delle Ferrovie dello Stato è stato trapanato da un gruppo di hacker che si è portato via terabyte e terabyte di dati, ovvero un quantitativo sproporzionato di informazioni personali.
La legge vuole che entro 72 ore venga informato il Garante della Privacy e siano immediatamente allertati i soggetti cui si riferiscono i dati che sono indebitamente finiti nelle mani di chissà chi e che possono essere utilizzati illecitamente per i più diversi scopi.
Il 20 novembre dell’anno scorso Almaviva (l’azienda che lavora per il Gruppo FS) aveva pubblicato un comunicato stampaAlmaviva (l’azienda che lavora per il Gruppo FS) aveva pubblicato un comunicato stampa estremamente generico che esordiva – a dispetto della tempistica di tre giorni sancita dalla normativa – dicendo “Almaviva informa che nelle settimane scorse i servizi aziendali dedicati al monitoraggio della sicurezza hanno individuato e successivamente isolato un attacco informatico che ha coinvolto i nostri sistemi corporate comportando la sottrazione di alcuni dati.”
Non mi sento di commentare “la sottrazione di alcuni dati” che fa sorridere anche chi è digiuno di archiviazione elettronica. Lascio stare il “quanto” e mi soffermo sul “quando”.
Quel “nelle settimane scorse” sembra collidere con le scadenze di legge, ma non è nulla in confronto ai sette mesi che Ferrovie dello Stato ha fatto passare (dal comunicato di Almaviva e non dall’antecedente rilevamento del guaio) prima di avvertire la sua clientela del disastro che metteva a repentaglio la sicurezza di una infinità di soggetti con conseguenze non difficili ad immaginarsi.
Capisco che il senso dell’urgenza non appartiene a chi vive quotidianamente di ritardi talmente devastanti per la collettività che dovrebbero portare il management non a succulente dimissioni ma a più dignitosi suicidi coram populo, magari con tanto di katana e rituale harahiri, ma probabilmente la propria clientela (vera vittima di quel che è successo) andava avvisata subito.
In ossequio alla più sconfortante approssimazione del fornitore, il Gruppo FS in questi giorni sta inviando – con la dovuta calma – una mail alla propria utenza esordendo con un cordiale “Gentile cliente, La informiamo che, a seguito di alcune verifiche, abbiamo rilevato un incidente di sicurezza informatica causato da soggetti esterni non identificati”.
Voglio limitarmi (ma solo per oggi) a disquisire sulla accezione “alcune verifiche” e guardo il calendario. Occupandomi di computer crime a tempo pieno soltanto da trentanove anni conosco qualcosina a proposito di incidenti informatici. Se anche i più severi riscontri tecnici e accertamenti giuridici non avevano necessità di tutto questo tempo, mi accontento di far presente che la disciplina vigente fa scattare le 72 ore per notifica al Garante e “alert” ai soggetti interessati dal momento della scoperta della violazione e non dal completamento di dolorose autopsie digitali.
Se è vero che – come si legge sul sito FScome si legge sul sito FS – che “Il Gruppo Ferrovie dello Stato ritiene la protezione dei dati personali dei propri clienti, dipendenti e fornitori un obbligo che prescinde dalla semplice compliance normativa”, l’utente avvisato dopo oltre sette mesi che i suoi dati sono in pericolo si sente preso un po’ in giro…
Ne riparliamo domani. Come insegnano le Ferrovie dello Stato non c’è fretta. Soprattutto quando un viaggio così consentirà di vedere dal finestrino panorami mozzafiato.
