Ad agosto, un attacco ransomware ha colpito Cartrack, esponendo dati personali e bancari dei clienti. L'Information Regulator ha aperto un'indagine per chiarire la portata della fuga di informazioni e le responsabilità dell'azienda.
Cartrack, società attiva nel tracciamento dei veicoli, è stata colpita da un attacco ransomware che ha portato alla fuga di dati dal database clienti e ha acceso i riflettori sulla gestione della privacy nel settore. Il gruppo criminale Dire Wolf ha rivendicato l'attacco, pubblicando il nome di Cartrack sul proprio sito nel dark web e dichiarando di aver sottratto 500 gigabyte di dati dai server aziendali. Secondo fonti indipendenti, l'incidente è stato rilevato il 26 agosto intorno alle 2 di notte; Cartrack ha isolato subito i server compromessi e ha ripristinato la piattaforma entro le 7 del mattino, mostrando una risposta tecnica rapida e in linea con le procedure di continuità operativa.
La violazione ha coinvolto dati personali dei clienti, dettagli di contatto, coordinate bancarie, informazioni sui veicoli e sulle abitudini di guida. Cartrack ha confermato che il proprio database clienti è stato effettivamente accesso durante l'attacco di agosto, ma non ha ancora comunicato il numero preciso di persone coinvolte né le modalità esatte dell'intrusione. L'azienda, parte del gruppo Karooooo, sta ancora analizzando l'estensione della fuga di dati, seguendo le procedure di incident response e le direttive europee sulla notifica delle violazioni, come previsto dal GDPR e dalle linee guida del Garante Privacy.
Cartrack ha inviato una notifica preliminare all'Information Regulator, come richiesto dalla Sezione 22 della normativa POPIA. Hangi Mbedzi, Acting Senior Manager per la Compliance e il Monitoraggio POPIA presso l'ente, ha dichiarato: "Posso confermare che Cartrack ha notificato l'Information Regulator ai sensi della Sezione 22. Al momento si tratta di una notifica preliminare. Stiamo ancora analizzando il contenuto della notifica; tuttavia, in generale, tutte le notifiche devono contenere l'estensione della violazione, possibilmente quanti soggetti sono stati coinvolti e ogni altra informazione su come sia avvenuto il fatto. Ma, come detto, stiamo ancora studiando la notifica e siamo in contatto con Cartrack a riguardo."
Il caso Cartrack si inserisce in una serie di attacchi ransomware che hanno già colpito altre aziende del settore, come mostrano anche recenti episodi. La pubblicazione dei dati rubati su siti del dark web rappresenta un rischio concreto per la privacy dei clienti e la reputazione delle aziende coinvolte. Secondo le analisi tecniche, la compromissione ha interessato server in ambienti cloud ibridi, dove la segmentazione di rete e la cifratura dei dati non sono bastate a impedire l'esfiltrazione su larga scala. La mancanza di informazioni pubbliche sulle versioni di firmware o sulle patch di sicurezza applicate rende difficile valutare la piena conformità agli standard internazionali come ISO/IEC 27001 e alle raccomandazioni dell'Agenzia per la Cybersicurezza Nazionale (ACN).
Agenzia per la Cybersicurezza Nazionale, Nota tecnica ACN (link)
La pressione sulle aziende che gestiscono dati sensibili aumenta dopo incidenti di questa portata. L'indagine dell'Information Regulator su Cartrack sarà un test per la trasparenza e la capacità di risposta delle imprese di fronte a violazioni che non sono più eccezioni. Una gestione rigorosa delle notifiche e una comunicazione chiara verso i clienti sono oggi condizioni essenziali per chi opera in settori esposti agli attacchi informatici.
