A Autoridade de Proteção de Dados (DPA) italiana aplicou uma multa de € 2,8 milhões à UniCredit S.p.A. ("controladora") por expor dados pessoais em tentativas de autenticação, incluindo as malsucedidas, e por falhar em prevenir o uso de PINs simples por clientes.

Em 22 de outubro de 2018, a controladora notificou a DPA italiana sobre uma violação de dados pessoais ocorrida em 21 de outubro de 2018, devido a um ataque cibernético no portal de banco móvel para clientes. Terceiros tentaram acessar contas de clientes usando PINs simples gerados automaticamente.

O portal tinha duas vulnerabilidades: disponibilizava dados pessoais (nome, sobrenome, código fiscal e código de identificação interno do banco) em respostas HTML para tentativas de autenticação, incluindo as falhas; e não limitava o uso de PINs simples, tornando as contas vulneráveis a ataques cibernéticos.

Devido à vulnerabilidade de resposta HTML, cada tentativa de login deu aos cibercriminosos acesso aos nomes, códigos fiscais e códigos de identificação internos de 777.765 clientes atuais e antigos. Em 6.959 desses casos, os atacantes também identificaram com sucesso os PINs do portal. A controladora então bloqueou os PINs identificados. A violação não incluiu os dados bancários dos titulares dos dados.

A controladora não considerou a violação de alto risco conforme o [[Artigo 34 GDPR]], comunicando-a apenas no seu website e diretamente aos 6.959 titulares dos dados cujas senhas foram identificadas. A DPA, após investigação preliminar, discordou e considerou a violação de alto risco para os direitos dos titulares dos dados, ordenando que a controladora comunicasse a violação a todos os titulares dos dados. A controladora preparou avisos diferenciados, que a DPA considerou em conformidade com o [[Artigo 34(2) GDPR]].

Em sua defesa, a controladora argumentou que adotou medidas preventivas e controles de mitigação que excediam os padrões de mercado na época da violação e que a violação ocorreu por negligência de seu processador de dados, responsável por testes de vulnerabilidade na página e aplicativo móvel. O processador se tornou ciente das vulnerabilidades em 19 de outubro de 2018, mas não notificou a controladora até 22 de outubro de 2018.

A DPA rejeitou a defesa da controladora e encontrou violações dos [[Artigos 5(1)(f)]], [[32(1)]] e [[32(2)]] GDPR, enfatizando o risco intrínseco de disponibilizar dados pessoais em qualquer tentativa de autenticação no setor bancário e a falha em prevenir PINs simples. A DPA aplicou a multa de € 2.800.000, considerando o número de titulares dos dados afetados, medidas anteriores da DPA devido a uma violação anterior, a perda de confidencialidade, a cooperação da controladora na investigação, a exclusão de dados bancários da violação e as etapas tomadas para mitigar a violação. Não foram emitidas outras medidas corretivas, considerando as mitigações da controladora após a violação e a falta de reclamações dos consumidores conforme o [[Artigo 77 GDPR]].

Com informações GDPRHub