Violazione dei Sistemi Smartbox: Esfiltrazione di Dati Clienti e Allerta Phishing Mirato

Il gruppo Smartbox — leader europeo nella distribuzione di cofanetti regalo ed esperienze prepagate — ha confermato formalmente di aver subito un incidente di sicurezza informatica che ha consentito ad attori malevoli non autorizzati di accedere a una porzione della propria infrastruttura IT centrale.

L'incidente è stato rilevato dai sistemi di monitoraggio interni dell'azienda, che hanno prontamente attivato i protocolli di contenimento per isolare l'infrastruttura impattata e avviare le indagini forensi in coordinamento con consulenti specializzati di incident response.

Dalle evidenze emerse dalle comunicazioni di notifica formale inviate ai clienti (*Notification of a data security incident*), gli attaccanti hanno ottenuto un accesso non autorizzato a specifici database contenenti informazioni anagrafiche dei consumatori.

L'analisi forense e la telemetria di contenimento confermano: - Dati Compromessi: Nomi, cognomi e indirizzi email registrati sulla piattaforma. - Dati Non Impattati: Nessun dato di pagamento, numero di carta di credito, credenziali di accesso o credenziali bancarie risulta compromesso. - Vettore di Minaccia Secondario: Il rischio primario risiede in campagne massive di spear-phishing e brand impersonation. Gli attaccanti possono sfruttare i recapiti per simulare comunicazioni di rinnovo o scadenza voucher, inducendo le vittime a inserire carte di credito su pagine di pagamento clone.

La violazione ha richiesto l'attivazione immediata degli adempimenti regolatori europei: - Regolamento UE 2016/679 (GDPR, Art. 33/34): Notifica formale trasmessa all'autorità capofila europea (Data Protection Commission - DPC irlandese) e notifica al Garante Privacy in Italia, unitamente alla comunicazione diretta agli interessati. - Direttiva NIS2 (D.Lgs. 138/2024, Art. 21): Obbligo di verifica stringente della resilienza dei fornitori terzi e monitoraggio continuativo dell'esposizione degli asset esposti su Internet.