Un attore malevolo che si fa chiamare "ChimeraZ" avrebbe diffuso un database da 2,8 GB riconducibile a Portalia, un'azienda francese di portage salarial. Secondo quanto riportato, i file includono più di 22.000 buste paga e documenti personali. La vicenda della violazione dei dati di Portalia relativa alle buste paga è un utile promemoria di quante informazioni sensibili si accumulino all'interno di un singolo intermediario occupazionale, e dei diritti di cui godono i lavoratori francesi quando queste informazioni finiscono nelle mani sbagliate.
I dettagli riportati di seguito provengono dalle prime notizie. La versione di Portalia sull'incidente, la sua causa e la sua portata completa non sono state accertate nel materiale a nostra disposizione, quindi i numeri vanno considerati come affermazioni riportate e non come risultati confermati.
Cosa ha diffuso ChimeraZ da Portalia
La fuga di dati segnalata è un database da 2,8 GB pubblicato da un attore malevolo con il nome di ChimeraZ. Il dataset viene descritto come contenente oltre 22.000 file di buste paga e documenti personali appartenenti a Portalia, un'azienda di portage salarial.
Le società di portage salarial (in Francia spesso chiamate appunto società di portage salarial) agiscono come datore di lavoro formale per professionisti indipendenti e consulenti. Gestiscono contratti, fatturazione, buste paga e contributi previdenziali. Questo ruolo significa che detengono abitualmente documenti che la maggior parte dei datori di lavoro vedrebbe solo in parte: dati identificativi, informazioni bancarie, identificativi fiscali e storico salariale.
Il resoconto non fornisce un inventario completo campo per campo, e non intendiamo azzardare ipotesi. Ciò che si può affermare è che buste paga e documenti personali di questo tipo si collocano tipicamente al centro dell'identità finanziaria di un lavoratore, motivo per cui la fuga di dati merita attenzione ancora prima che ogni dettaglio sia confermato.
Perché i dati delle buste paga sono così preziosi per i truffatori
Una singola busta paga può contenere una quantità sorprendente di informazioni. A seconda del documento, può mostrare nome completo, indirizzo, datore di lavoro, reddito, dati previdenziali e riferimenti del conto bancario. Insieme, questi elementi forniscono al truffatore il materiale per costruire truffe convincenti.
I rischi rientrano in alcune categorie pratiche:
- Phishing mirato: Chi conosce il tuo datore di lavoro, il tuo reddito e la tua storia contrattuale può scrivere un messaggio che sembra legittimo, come un falso avviso di un ufficio fiscale o della stessa società di portage salarial.
- Frode d'identità: Gli identificativi fiscali e i dati personali possono supportare tentativi di aprire conti o richiedere crediti a tuo nome.
- Frode bancaria: I soli dati bancari di solito non consentono il furto, ma aiutano i criminali a impersonare le banche o a impostare addebiti diretti non autorizzati.
- Lunga conservazione: A differenza di una password, il tuo storico salariale e i tuoi dati identificativi non possono essere reimpostati. I dati delle buste paga diffusi possono essere riutilizzati per anni.
Questo è anche il motivo per cui le violazioni presso gli intermediari colpiscono duramente. Le piattaforme di reclutamento e occupazionali concentrano i dati di molte persone in una sola volta, un modello osservato anche quando un database non protetto ha esposto dati di assunzione legati a più di 5 milioni di annunci di lavoro.
GDPR e CNIL: cosa deve Portalia ai lavoratori coinvolti
Poiché Portalia opera in Francia, si applica il Regolamento generale sulla protezione dei dati dell'UE, con la CNIL (Commission nationale de l'informatique et des libertés) che agisce come autorità nazionale per la protezione dei dati. Ai sensi del GDPR, le organizzazioni che subiscono una violazione di dati personali devono generalmente notificare all'autorità di controllo senza indebito ritardo, e ove possibile entro 72 ore da quando ne vengono a conoscenza. Se la violazione è suscettibile di comportare un rischio elevato per le persone, anche queste devono essere informate direttamente.
Le persone coinvolte hanno anche diritti che possono esercitare:
- Diritto di accesso: Puoi chiedere a Portalia di confermare se detiene i tuoi dati e di fornirne una copia.
- Diritto all'informazione: Puoi chiedere cosa è successo, quali dati sono stati coinvolti e cosa sta facendo l'azienda al riguardo.
- Diritto alla cancellazione e alla limitazione: Ove applicabile, puoi richiedere la cancellazione o la limitazione del trattamento dei dati non più necessari.
- Diritto di reclamo: Puoi presentare un reclamo alla CNIL se ritieni che i tuoi dati non siano stati adeguatamente protetti o che la risposta sia stata inadeguata.
Se Portalia abbia notificato la CNIL o le persone coinvolte non è stato confermato nel resoconto che abbiamo esaminato. I lavoratori non dovrebbero aspettare una lettera prima di agire.
Cosa significa per te
Se hai mai lavorato tramite Portalia, o hai firmato un contratto con loro come freelance o consulente, presumi che i tuoi dati possano essere tra quelli nella fuga di dati finché non senti diversamente. Se non hai alcun legame con l'azienda, la vicenda resta comunque un utile controllo su quante organizzazioni detengono i dati delle tue buste paga.
La Francia ha registrato una lunga serie di incidenti ultimamente. I dati di monitoraggio del dark web hanno registrato più di 145 milioni di esposizioni di dati in Francia nell'arco di due anni, e i sistemi governativi non sono stati risparmiati, come ha dimostrato la violazione ANTS che ha coinvolto 12 milioni di account. I dati provenienti da più fughe di dati possono essere combinati, quindi una fuga di dati sulle buste paga può rendere più pericolose le esposizioni precedenti.
Passi che i dipendenti coinvolti possono intraprendere ora
- Contatta Portalia per iscritto. Invia una richiesta di accesso ai sensi del GDPR e chiedi se i tuoi dati sono stati coinvolti, quali campi sono stati esposti e quali misure di protezione vengono offerte.
- Monitora i tuoi conti bancari. Esamina gli estratti conto per addebiti sconosciuti e valuta di chiedere alla tua banca un monitoraggio aggiuntivo.
- Attiva gli avvisi antifrode. Usa gli strumenti di avviso offerti dalla tua banca e, ove disponibili, i servizi di monitoraggio del credito o dell'identità.
- Sii scettico riguardo ai messaggi. Tratta email, SMS o chiamate inaspettate su stipendio, tasse o contratti come sospetti. Vai direttamente sui siti ufficiali invece di cliccare sui link.
- Proteggi i tuoi account. Usa password uniche e l'autenticazione a due fattori per email, conti bancari e account fiscali, poiché l'accesso all'email consente ai truffatori di reimpostare altre credenziali di accesso.
- Valuta un reclamo alla CNIL. Se non ricevi una risposta adeguata, puoi rivolgerti a un livello superiore.
In conclusione
La fuga di dati di Portalia relativa alle buste paga, se le cifre riportate sono confermate, mostra come un singolo intermediario occupazionale possa diventare un unico punto di vulnerabilità per migliaia di lavoratori. Verifica se sei stato coinvolto, invia la tua richiesta di accesso ai sensi del GDPR e attiva oggi stesso gli avvisi antifrode. Per un contesto più ampio su come questi incidenti si collegano tra loro, leggi la nostra copertura sulle tendenze delle esposizioni di dati in Francia e sulla violazione ANTS.
