Quando un sito WordPress viene compromesso, spesso non è solo il sito a essere in pericolo: lo sono anche i dati personali dei tuoi utenti, clienti e collaboratori. E con il GDPR, le conseguenze possono essere molto serie.
Il database di WordPress contiene una quantità significativa di dati personali: nomi, email, password cifrate, indirizzi IP. Se il sito ha un e-commerce (WooCommerce), anche indirizzi fisici, numeri di telefono e potenzialmente dati di pagamento.
Un attaccante può accedere a questi dati attraverso una SQL injection, un accesso brute force al pannello admin, l'installazione di malware che intercetta i dati in transito, o tramite backdoor preinstallate in plugin piratati.
Quello che rende questa situazione particolarmente critica è che potresti non accorgerti del furto per settimane o mesi. A differenza di un defacement o di un redirect, il furto di dati è silenzioso: l'attaccante copia le informazioni senza lasciare tracce evidenti.
Il Regolamento Europeo sulla protezione dei dati impone obblighi precisi in caso di data breach. Non rispettarli aggrava significativamente le conseguenze.
Il GDPR (art. 33) impone di notificare la violazione all'autorità di protezione dei dati entro 72 ore dalla scoperta, a meno che non sia improbabile che comporti un rischio per gli interessati. Non farlo espone a sanzioni aggiuntive.
Se il rischio per le persone è elevato (art. 34), devi informare direttamente ogni utente i cui dati sono stati compromessi. Questo significa inviare comunicazioni individuali spiegando cosa è successo e cosa possono fare.
Le sanzioni per violazione del GDPR possono raggiungere il 4% del fatturato annuo globale o 20 milioni di euro, a seconda di quale importo è superiore. Anche le PMI ricevono sanzioni proporzionate.
La notizia di un data breach erode la fiducia dei clienti, può generare recensioni negative e, nel caso di aziende B2B, compromettere partnership e contratti. Ricostruire la fiducia richiede molto tempo.
In caso di sospetto furto di dati, interveniamo su due fronti paralleli: bonifica tecnica e supporto alla gestione legale dell'incidente.