La Commissione irlandese per la protezione dei dati (DPC) ha multato Meta per 91 milioni di euro (circa 101,5 milioni di dollari) per non aver protetto le password degli utenti. Questa multa è in risposta a un incidente accaduto nel 2019, in cui milioni di password di Facebook e Instagram sono state archiviate in testo normale, il che le ha rese facilmente accessibili senza crittografia.
Il DPC afferma che questo incidente ha violato diverse disposizioni del GDPR. Quel che è peggio è che Facebook non ha nemmeno avvisato i suoi utenti di questa violazione e non ha implementato misure di sicurezza fino a quando e dopo la scoperta della violazione.
La multa di Meta include la violazione dei seguenti articoli del GDPR:
- Articolo 33(1) GDPR, poiché MPIL non ha notificato al DPC una violazione dei dati personali riguardante l’archiviazione delle password degli utenti in chiaro;
- Articolo 33(5) GDPR, in quanto MPIL non è riuscita a documentare le violazioni dei dati personali relative all’archiviazione delle password degli utenti in chiaro;
- Articolo 5(1)(f) GDPR, in quanto MPIL non ha utilizzato misure tecniche o organizzative adeguate per garantire un’adeguata sicurezza delle password degli utenti contro l’elaborazione non autorizzata; e
- Articolo 32(1) GDPR, poiché MPIL non ha implementato misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, compresa la capacità di garantire la riservatezza continuativa delle password degli utenti.
L’incidente si è verificato quando le password sono finite in parti dei sistemi di Meta che non erano realmente progettate per la gestione delle password, probabilmente a causa di log di errori o crash. Ciò ha significato che quelle password erano accessibili a oltre 20.000 dipendenti di Meta. Le password sono state archiviate in testo normale dal 2012 al 2019, quando una revisione di sicurezza di routine ha scoperto che venivano archiviate in un formato leggibile.
Il vice commissario del DPC, Graham Doyle, ha affermato in un comunicato stampa :
“È ampiamente accettato che le password degli utenti non debbano essere archiviate in testo normale, considerando i rischi di abuso che derivano dall’accesso di persone a tali dati. Bisogna tenere presente che le password oggetto di considerazione in questo caso sono particolarmente sensibili, in quanto consentirebbero l’accesso agli account dei social media degli utenti.”
La procedura standard di Meta per l’archiviazione delle password include una tecnica di hashing chiamata “script”, che consiste nel convertire la password effettiva in una stringa casuale di caratteri che non può essere facilmente invertita. Questo metodo protegge gli account utente assicurando che anche se si accede ai dati, le password originali rimangano sicure. Tuttavia, le password sono comunque finite negli altri sistemi di Meta.
Meta ha riconosciuto l’incidente già nel 2019 e ha affermato che non vi erano prove di alcun accesso esterno o abuso di questi dati.
tramite Reuters
