Trenitalia, Eataly, Consiglio d'Europa: una settimana di attacchi e cosa insegna alle aziende

In pochi giorni tre organizzazioni molto diverse tra loro, i treni, la grande distribuzione alimentare e un'istituzione europea per i diritti umani, hanno comunicato di aver subito una violazione dei propri sistemi. Nessun settore è al riparo, e la vera differenza tra chi limita il danno e chi lo subisce fino in fondo si gioca prima dell'attacco, non dopo.

Tempo di lettura: 7 minuti · Trenitalia · Eataly · Consiglio d'Europa · Cosa hanno in comune · Come possiamo aiutarti · FAQ

Trenitalia: violati i dati di viaggio di alcuni passeggeri

Trenitalia ha comunicato ai clienti coinvolti un incidente di sicurezza informatica che ha portato a un accesso non autorizzato ad alcuni dati personali legati ai titoli di viaggio, causato secondo l'azienda da soggetti esterni non identificati. Tra le informazioni potenzialmente esposte figurano dati anagrafici, recapiti, dettagli del viaggio come tratta e orario, codice della carta fedeltà ed estremi del documento d'identità, mentre l'azienda ha escluso il coinvolgimento di credenziali di accesso e dati di pagamento. Trenitalia ha notificato l'accaduto al Garante per la Protezione dei Dati Personali e al CSIRT Italia, e ha presentato denuncia alla Procura della Repubblica di Roma.

Eataly: attacco all'e-commerce, dati anagrafici a rischio

Eataly ha subito un attacco informatico alla propria piattaforma e-commerce, notificando l'incidente sia al Garante che al CSIRT Italia ai sensi di GDPR e NIS2. Tra i dati potenzialmente esposti figurano dati anagrafici, codici fiscali, recapiti e storico degli acquisti, mentre le password sono risultate cifrate correttamente e non risulta un download effettivo dei dati. Ne avevamo già parlato in modo approfondito, con la timeline completa della risposta e le scadenze NIS2 2026 da tenere d'occhio, nell'articolo L'attacco a Eataly e la NIS2: cosa cambia per le aziende italiane.

Consiglio d'Europa: 297 GB di dati sottratti da ShinyHunters

Il gruppo estorsivo ShinyHunters ha rivendicato la violazione dei sistemi del Consiglio d'Europa, l'organizzazione con sede in Francia che riunisce 46 Stati membri, dichiarando di aver sottratto oltre 429.000 file per circa 297 gigabyte provenienti da risorse umane, Segretariato e Assemblea Parlamentare. Tra il materiale rivendicato figurerebbero quindici anni di buste paga di oltre diecimila dipendenti, curriculum, fascicoli personali e dati bancari, fiscali e sanitari. Il Consiglio d'Europa ha dichiarato di essere al lavoro per verificare l'accaduto, senza confermare pubblicamente l'entità del danno al momento della rivendicazione.

Cosa hanno in comune questi tre casi

Al di là del settore e della gravità, i tre episodi condividono un filo conduttore utile per qualunque azienda. Il primo è che i dati apparentemente secondari, come una tratta ferroviaria, uno storico di acquisti o una busta paga, sono in realtà tra i più preziosi per chi organizza truffe mirate, perché rendono credibile un messaggio fraudolento molto più di una password rubata. Il secondo è che la velocità della comunicazione fa la differenza tra un incidente gestito e uno che si trascina: Eataly ha comunicato entro pochi giorni, Trenitalia dopo mesi di verifiche tecniche, e proprio quel divario temporale è oggi al centro delle critiche più severe. Il terzo è che la catena di fornitura tecnologica resta un punto debole strutturale, come dimostra il caso del Consiglio d'Europa: una singola vulnerabilità su una piattaforma enterprise diffusa può trasformarsi in un incidente per oltre cento organizzazioni contemporaneamente, indipendentemente da quanto siano solide le loro difese interne.

Il risultato pratico è che NIS2 e GDPR non vanno più trattati come due adempimenti paralleli gestiti da uffici diversi, ma come un unico processo coordinato tra team tecnico, legale e privacy, capace di rispettare contemporaneamente i tempi di notifica al CSIRT Italia, entro 24 ore per la pre-notifica e 72 per la notifica completa, e quelli verso il Garante quando è coinvolta una violazione di dati personali.

Come possiamo aiutarti

La domanda utile, dopo aver letto tre casi come questi, non è se un incidente possa capitare, ma se la tua azienda saprebbe gestirlo con la stessa rapidità e trasparenza viste nei casi meglio gestiti. Un buon punto di partenza è il nostro Self-Assessment NIS2 gratuito, che restituisce un report preliminare con priorità di intervento senza salvare alcun dato sul server. Per chi ha bisogno di una valutazione più approfondita, inclusa la mappatura dei fornitori critici che, come nel caso PeopleSoft, possono trasformare un problema altrui nel proprio problema, c'è l'Audit NIS2 Preliminare, con analisi delle vulnerabilità, monitoraggio OSINT e Dark Web e un report finale con azioni correttive puntuali.

Domande frequenti

Approfondisci su Alchimie Digitali

Fonti ufficiali della notizia: CyberSecItalia per il caso Trenitalia, Cybersecurity360 per il caso Eataly, e Byte.it per il caso Consiglio d'Europa.

L'attacco a Eataly e la NIS2: cosa cambia per le aziende italiane

A giugno Eataly ha subito un attacco al proprio e-commerce, con dati anagrafici, codici fiscali e storico acquisti tutti potenzialmente esposti: quello che vale la pena leggere però è come Eataly ha risposto, con notifica alle autorità entro i termini NIS2 e GDPR, comunicazione diretta ai clienti, logout forzato da tutti gli account e partner di cybersecurity attivati nelle ore successive. È esattamente il processo che la norma richiede, e vederlo applicato da un'azienda italiana concreta vale più di qualsiasi guida teorica. E se ti succedesse domani?

Tempo di lettura: 6 minuti · Cosa è successo · Il processo applicato · Scadenze NIS2 · Come possiamo aiutarti · Cosa impariamo · FAQ

Cosa è successo

Eataly ha subito un attacco informatico alla propria piattaforma e-commerce e ha prontamente notificato l'incidente alle autorità competenti e ai clienti, in conformità con il GDPR e la direttiva NIS2, che classifica la distribuzione alimentare come settore critico e impone standard rigorosi nella gestione della sicurezza. Tra i dati potenzialmente a rischio figurano dati anagrafici, codici fiscali, recapiti e storico degli acquisti, mentre le password sono risultate cifrate correttamente e non vi è alcuna evidenza di download dei dati sensibili. Gli utenti registrati sono stati avvisati via email riguardo al potenziale rischio di phishing.

Il processo che la norma richiede, applicato

Quello che rende questo caso un riferimento concreto, più che un ennesimo allarme, è la sequenza delle azioni messe in campo nelle ore successive alla scoperta dell'attacco.

È lo stesso schema che molte aziende hanno sulla carta, in un piano di risposta agli incidenti che nessuno ha mai davvero testato: vederlo eseguito da un'azienda italiana riconoscibile, con tempi e passaggi verificabili, vale più di qualsiasi guida teorica sull'argomento.

Le scadenze NIS2 2026 da tenere d'occhio

Il caso Eataly arriva in un momento in cui il calendario NIS2 per i soggetti italiani è già scandito da adempimenti precisi e non prorogabili verso l'ACN, come raccontiamo nell'articolo NIS2 2026: cosa cambia davvero con i nuovi adempimenti ACN e nell'approfondimento sulla categorizzazione ACN del 30 giugno 2026.

Cosa può fare Alchimie Digitali per te

La conformità alla NIS2 non si costruisce nei giorni immediatamente successivi a un incidente, ma nella preparazione che li precede, e per questo affianchiamo le aziende con strumenti concreti e non solo documentali. Un buon punto di partenza è il nostro Self-Assessment NIS2 gratuito, che restituisce un report preliminare con score di conformità e priorità di intervento senza salvare alcun dato sul server. Per chi ha bisogno di una valutazione più approfondita c'è l'Audit NIS2 Preliminare, che unisce analisi delle vulnerabilità, revisione dei processi di sicurezza, monitoraggio OSINT e Dark Web e un report finale con azioni correttive puntuali.

Se ti stai chiedendo cosa succederebbe alla tua azienda in un caso simile, o se il tuo piano di risposta agli incidenti esiste solo su carta, è probabilmente il momento giusto per verificarlo prima che sia un attacco a farlo per te.

Cosa impariamo da Eataly

Al di là del singolo incidente, ci sono almeno tre lezioni che restano valide per qualunque azienda gestisca un e-commerce o dati di clienti online. La prima è che il tempo di reazione conta quanto la reazione stessa: Eataly ha bloccato gli accessi con il logout forzato nelle ore immediatamente successive alla scoperta, non giorni dopo, ed è proprio quella rapidità a limitare i danni quando un incidente è ancora in corso. La seconda è che la trasparenza verso i clienti non è un rischio reputazionale ma il contrario: comunicare cosa è successo, cosa è a rischio e cosa è al sicuro, come nel caso delle password rimaste cifrate, costruisce fiducia molto più di un silenzio che poi qualcun altro romperebbe al posto tuo. La terza è che avere già un partner di cybersecurity attivabile in poche ore fa la differenza tra una gestione ordinata e una improvvisata, perché le verifiche tecniche approfondite non si possono organizzare da zero nel momento stesso in cui si scopre l'attacco.

Il punto in comune tra queste tre lezioni è che nessuna si costruisce durante l'emergenza: il logout forzato presuppone un'infrastruttura pronta a farlo, la comunicazione trasparente presuppone un protocollo già scritto e approvato, e il partner di cybersecurity presuppone un rapporto già attivo prima che serva. È esattamente il motivo per cui la NIS2 chiede di prepararsi prima, e non di improvvisare dopo.

Domande frequenti

Approfondisci su Alchimie Digitali

Fonte ufficiale della notizia: Cybersecurity360.