Attacco hacker al sito web del Comune di Napoli, rubate le password

Attacco hacker ai server del Comune di Napoli. A rischio i dati personali degli utenti, le password e le credenziali di accesso personali utilizzati per le iscrizioni alle newsletter. A lanciare l'allarme sulla preoccupante violazione della sicurezza del sito web da parte dei pirati informatici è lo stesso servizio informatico di Palazzo San Giacomo, che ha inviato una email a tutti gli iscritti al proprio portale web, che non è gestito interamente dal Comune. "Si tratta – precisano fonti del Comune di Napoli – di vecchi dati, probabilmente non più utilizzati, per l'accesso alle newsletter del Comune. Non, quindi, delle credenziali per i servizi online, che servono per avere i certificati anagrafici o per il pagamento delle imposte. Le password comunque sono crittografate, quindi non possono essere utilizzate". Il rischio, se se ne dovesse indovinare una, secondo il Comune, potrebbe essere "ritrovarsi cancellati dalla ricezione di una newsletter". Ciò nonostante, si tratta comunque di dati personali sensibili, per questo gli utenti sono stati invitati a cambiare le password. L'attacco risalirebbe a qualche giorno fa. "Le password sono state già cambiate – assicura il Comune – e il problema tecnico risolto. Nessun account è stato modificato, ma per precauzione sono state modificate le password".

Il Comune: violati i nostri server

Nella email inviata dal Comune di Napoli a tutti gli iscritti al portale web municipale c'è scritto:

"Gentile utente, a causa di una violazione di sicurezza dei nostri server abbiamo ragione di credere che si sia verificata una diffusione non autorizzata dei dati personali degli utenti iscritti alle community del sito web www.comune.napoli.it. Questa violazione riguarda le informazioni di registrazione e le credenziali utilizzate per accedere unicamente all'area riservata del sito istituzionale (nome e cognome, nome utente, email, password). Il Comune di Napoli ha deciso quindi, pochi minuti dopo aver ricevuto la segnalazione, di modificare unilateralmente tutte le password utilizzate per accedere all'area riservata del sito, al fine di impedire qualunque tipo di accesso non autorizzato. Pertanto, per accedere nuovamente all'area riservata, è necessario modificare la propria password .  Le suggeriamo, inoltre, di modificare la password anche in tutti gli ulteriori siti e piattaforme dove eventualmente lei abbia utilizzato le medesime credenziali di accesso (email e password)".

Il Municipio: "Pronta denuncia a Polizia Postale"

"Nel fine settimana appena trascorso – specifica il Comune di Napoli in una nota – il Municipio è stato informato attraverso una email del sistema di allerta  CSIRT italiano – di un possibile attacco informatico ai server su cui è ospitato il sito web istituzionale del Comune Il Csirt ha informato che sul sito Raidforums risultavano pubblicati i dati personali degli utenti registrati al sito www.comune.napoli.it (nome, cognome, email, username e password di accesso alla sola community web del portale, cioè alle newsletter presenti sul sito istituzionale ). Non appena ricevuta la segnalazione è stata attivata la società che si occupa della gestione dei server e del software per la gestione dei contenuti del sito effettuando, in tempi rapidissimi, nell’ordine di poco meno di due ore, il cambio massivo automatico delle password di tutti gli utenti – esclusivamente quelli iscritti alle newsletter del sito comunale inserendo, per ciascuno di essi, una password complessa costituita da una stringa casuale di 32 caratteri criptata.

La vulnerabilità coinvolge, insomma, solo una specifica applicazione del sito ( e cioè l’accesso alle newsletter ) che è stata ovviamente messa subito offline. I dati personali oggetto dell'attacco sono da considerarsi comuni e le credenziali di autenticazione consentivano unicamente di accedere al sito per usufruire del solo servizio di newsletter. Nessun ulteriore dato personale dell'utente, rispetto a quelli sopra indicati, era accessibile in seguito all'autenticazione. È stata inviata agli utenti una comunicazione via email relativa alla violazione di sicurezza invitandoli a reimpostare la propria password per il sito dell'Amministrazione partenopea e suggerendo agli stessi di cambiare le credenziali di accesso anche per altri siti o piattaforme solo nel caso in cui avessero utilizzato le stesse credenziali (nome utente e password) usate per l’iscrizione alla newsletter. Il Comune ha notificato anche al Garante per la privacy la violazione dei dati personali e resenterà nelle prossime ore dettagliata denuncia alla Polizia postale per reati telematici.