Data breach

Nella sicurezza informatica, si definisce data breach, o violazione dei dati oppure fuga di dati, la diffusione intenzionale o non intenzionale, in un ambiente non affidabile, di informazioni protette o private/confidenziali. Un concetto simile è la "fuga di informazioni" (in inglese information leakage). Incidenti di questo tipo spaziano da attacchi dei cosiddetti black hat, individui che compiono attacchi informatici per qualche forma di lucro personale, associati con criminalità organizzata, attivisti politici o governi nazionali, a imprudente abbandono di apparecchi informatici o supporti di memoria e fonti non attaccabili da hacker.

Definizione: "Una violazione dei dati è una violazione della sicurezza in cui dati sensibili, protetti o riservati vengono copiati, trasmessi, visti, rubati o utilizzati da un individuo non autorizzato a farlo".^[1] I data breach possono riguardare informazioni finanziarie come particolari di carte di credito e debito, dati bancari, informazioni sulla salute personale (PHI), dati personali (PII), segreti industriali o aziendali o proprietà intellettuale. La maggior parte di queste fughe di dati riguardano dati non strutturati sovraesposti e vulnerabili — archivi, documenti, e informazioni sensibili.^[2]

I data breach possono comportare spese rilevanti per le organizzazioni per costi diretti (ripristini, indagini, eccetera) e indiretti (danni di reputazione, prestazioni di sicurezza informatica a beneficio delle vittime della compromissione di dati, eccetera).

Secondo l'organizzazione dei consumatori no-profit Privacy Rights Clearinghouse, negli Stati Uniti tra gennaio 2005 e maggio 2008, escludendo incidenti che apparentemente non riguardavano dati sensibili, furono coinvolti in falle di sicurezza un totale di 227 052 199 record (campi) singoli contenenti informazioni personali sensibili.^[3]

Molte giurisdizioni hanno adottato leggi sulla notifica delle falle di sicurezza, che impongono ad un'impresa coinvolta in un data breach di informare i clienti ed assumere altri provvedimenti per rimediare ad eventuali danneggiamenti.

Un data breach può comprendere incidenti come furto o smarrimento di mezzi digitali quali nastri magnetici, dischi rigidi, o computer portatili contenenti mezzi simili, su cui le informazioni sono immagazzinate senza cifratura, la divulgazione di dette informazioni sul web o su un computer altrimenti accessibile via internet senza idonee precauzioni di sicurezza informatica, il trasferimento di dette informazioni ad un sistema che non è completamente aperto ma non è appropriatamente o formalmente accreditato per la sicurezza al livello approvato, come una e-mail non criptata, o il trasferimento di tali informazioni ai sistemi informativi di un organismo potenzialmente ostile, come un'impresa concorrente o un Paese straniero, dove può essere assoggettato a tecniche di decrittazione più approfondite.

Lo standard ISO/IEC 27040 definisce un data breach come: compromissione della sicurezza che porta alla distruzione accidentale o illegale, perdita, alterazione, divulgazione non autorizzata o accesso a dati protetti trasmessi, memorizzati o altrimenti elaborati.^[4]

Il concetto di ambiente affidabile è in qualche modo fluido. L'allontanamento di un membro fidato dello staff con accesso ad informazioni sensibili può diventare un data breach se il membro dello staff conserva l'accesso ai dati dopo il termine della relazione fiduciaria. Nei sistemi distribuiti, questo può anche avvenire con un cedimento del web of trust. La qualità dei dati è un modo per ridurre il rischio di un data breach,^[5] in parte poiché permette al titolare dei dati di classificarli secondo l'importanza e dare miglior protezione ai dati più importanti.

La maggior parte di questi incidenti pubblicizzati dagli organi di informazione riguardano informazioni private su individui, ad esempio social security number. La perdita di informazioni societarie come segreti industriali, informazioni aziendali sensibili, e particolari di contratti, o di informazioni del governo è spesso non denunciata, poiché non sussiste alcuna ragione stringente per farlo in assenza di potenziale danno per i privati cittadini, e la pubblicità attorno ad un tale evento può essere più dannosa della perdita di dati in sé.^[6]

Le persone che lavorano in un'organizzazione sono una causa rilevante di data breach. Le stime di fughe causate da errori accidentali a "fattore umano" variano dal 37% del Ponemon Institute^[7] al 14% del Verizon 2013 Data Breach Investigations Report.^[8] La categoria delle minacce esterne contempla hacker, organizzazioni di cyber-criminali e soggetti appoggiati da qualche Stato. Le associazioni di professionisti per gestori di risorse IT^[9] collaborano intensamente con i professionisti IT per educarli alle migliori pratiche di riduzione del rischio^[10] sia per minacce interne sia esterne a risorse IT, software e informazioni. Anche se la prevenzione di sicurezza può sventare un'alta percentuale di tentativi, alla fine un attaccante motivato può probabilmente trovare un varco in ogni rete data. Una delle 10 citazioni preferite dell'A.D. di Cisco John Chambers è, "Ci sono due tipi di società: quelle che hanno subito attacchi hacker, e quelle che non sanno di averli subiti."^[11] L'agente speciale FBI per le operazioni speciali informatiche Leo Taddeo avvisò sulla TV Bloomberg, "La nozione che si può proteggere il proprio perimetro sta cadendo nel dimenticatoio e ora è fondamentale il rilevamento."^[12]

Alcuni personaggi famosi hanno scoperto di essere stati vittime di fughe di dati sanitari, benché a titolo individuale, e non nel quadro di un più ampio data breach.^[13] Data la serie di data breach medici e la lesione della fiducia pubblica, alcuni Paesi hanno adottato leggi che impongono di porre in essere salvaguardie per proteggere la sicurezza e la confidenzialità delle informazioni sanitarie siccome condivise elettronicamente, e per conferire ai pazienti alcuni importanti diritti per monitorare le proprie registrazioni sanitarie e per ottenere avviso in caso di perdita e acquisizione non autorizzata di informazioni sulla salute. Gli Stati Uniti e la UE hanno imposto l'obbligo di notifica per data breach sanitari.^[14] Sono sempre più comuni le fughe di dati sanitari denunciabili negli Stati Uniti.^[15]

A fronte di una rilevazione di una presunta violazione (da parte di tutto il personale che ne viene a conoscenza), viene data comunicazione interna al DPO (Data Protection Officer, responsabile della protezione dei dati) tramite il responsabile di settore/reparto. La segnalazione al responsabile di settore deve essere effettuata appena se ne viene a conoscenza, utilizzando le modalità più comuni (di persona, via mail, via telefono). La raccolta delle informazioni è a carico del responsabile del settore e va effettuata appena viene ricevuta la segnalazione di data breach. Tali informazioni vanno comunicate al DPO attraverso appositi canali istituzionali. Acquisite tutte le informazioni necessarie, il DPO analizzerà la segnalazione e valuterà la necessità o meno di eseguire la notifica all'autorità di controllo e ai soggetti interessati.

Flusso operativo

Sebbene questi incidenti creino il rischio del furto d'identità o altre conseguenze serie, nella maggior parte dei casi non c'è alcun danno duraturo; o la falla di sicurezza è riparata prima che le informazioni raggiungano persone senza scrupoli, o il ladro è interessato solo all'hardware rubato, non ai dati che esso contiene. Ciò nonostante, quando incidenti simili diventano di pubblico dominio, è d'uso che la parte responsabile cerchi di mitigare i danni fornendo alla vittima l'abbonamento ad una centrale rischi, per esempio, nuove carte di credito, o altri strumenti. Nel caso di Target, il data breach del 2013 costò a Target un significativo calo dei profitti, che precipitarono del 40 per cento nel quarto trimestre dell'anno.^[17] Alla fine del 2015, Target pubblicò una relazione che dichiarava una perdita totale di 290 milioni di dollari per costi collegati a data breach.^[18]

La fuga di Yahoo svelata nel 2016 potrebbe essere oggi una delle più onerose. Il prezzo di acquisto da parte di Verizon è stato ridotto di 350 milioni di dollari (su un prezzo originale di 4,8 miliardi di dollari).^[19] I reati informatici costano alle società di energia e servizi una media di 12,8 milioni di dollari l'anno tra lucro cessante e apparecchiature danneggiate secondo DNV GL, una società internazionale di certificazione e classificazione con base a Norvegia.^[20] I data breach costano alle organizzazioni della salute 6,2 miliardi di dollari tra il 2014 e il 2015, secondo uno studio Ponemon.^[21]

Nell'attività di cura della salute più di 25 milioni di persone hanno subito il furto dei loro dati, che ha provocato il furto di identità di più di 6 milioni di persone, e il costo diretto a carico delle vittime è prossimo a 56 miliardi di dollari.^[22] Privacy Rights Clearinghouse (PRC) ha dimostrato dati dal gennaio 2005 al dicembre 2018 secondo cui ci sono stati più di 9000 eventi "breach". Inoltre, quali cause portino a ciascun breach come attacco interno, truffa su carta di pagamento,, dispositivo portatile smarrito o rubato, malware ed invio di email a destinatario errato (DISC). Questo mostra che l'errore più comune che porta ad un data breach è causato da esseri umani che maldestramente permettono ad hacker di approfittarne ed eseguire un attacco.^[23]

Notoriamente è difficile ottenere informazioni sulla perdita diretta e indiretta derivante da un data breach. Un approccio diffuso per valutare l'impatto dei data breach è studiare le reazioni del mercato ad un tale incidente come rivelatore delle conseguenze economiche. Ciò è tipicamente condotto attraverso l'uso di event study, in cui si può ricostruire una misura dell'impatto economico dell'evento usando i prezzi della sicurezza osservati in un periodo relativamente breve. Sono stati pubblicati parecchi studi di questo genere con varie risultanze, tra cui i lavori di Kannan, Rees, e Sridhar (2007),^[24] Cavusoglu, Mishra, and Raghunathan (2004),^[25] Campbell, Gordon, Loeb, e Lei (2003)^[26] oltre a Schatz e Bashroush (2017).^[27]

Poiché il volume dei dati sta crescendo esponenzialmente nell'era digitale e le fughe di dati avvengono più spesso oggi di qualunque altro momento precedente, impedire che informazioni sensibili siano divulgate a soggetti non autorizzati diventa uno dei più assillanti problemi di sicurezza per le imprese.^[28] Per salvaguardare dati e finanze, le imprese spesso devo sostenere costi aggiuntivi per adottare misure preventive verso i potenziali data breach.^[29] Dal 2017 al 2021 era stata prevista una spesa globale per la sicurezza informatica superiore ad 1 miliardo di dollari.^[29]

• Ameriprise Financial, laptop rubato, 24 dicembre, 260 000 record di clienti^[3]
• ChoicePoint, febbraio, 163 000 record di clienti^[30]

• Fuga dei dati di ricerca di AOL (a volte chiamata anche "Data Valdez",^[31][32][33] per le sue dimensioni)
• Dipartimento degli Affari dei Veterani degli Stati Uniti d'America, maggio, 280 000 veterani, riservisti e personale in servizio attivo^[3][34]
• Ernst & Young, maggio, 234 000 clienti di Hotels.com (dopo una fuga di dati simile si dati di 38 000 dipendenti di clienti Ernst & Young in febbraio)^[3]
• Boeing, dicembre, 382 000 dipendenti (dopo una fuga di dati simile su 3600 dipendenti in aprile e 161 000 dipendenti in novembre, 2005)^[3]

• D. A. Davidson & Co. 192 000 nomi di clienti, loro account e numeri della previdenza sociale, indirizzi e date di nascita^[35]
• La fuga di dati degli Stati Ohio e Connecticut nel 2007 connessa ad Accenture^[36]
• T.J.Maxx, dati per 45 milioni di account di credito e debito^[37]
• Scandalo dei dati del programma UK di assistenza ai bambini^[38]
• CGI Inc., agosto, 283 000 pensionati di New York^[3]
• Gap, Inc., settembre, 800 000 candidati all'impiego^[3]
• Memorial Blood Center, dicembre, 268 000 donatori di sangue^[3]
• Commissione elettorale della contea di Davidson, dicembre, 337 000 votanti^[3]

• Nel gennaio 2008 GE Money, una divisione di General Electric, rivelò che era andato smarrito da un magazzino della Iron Mountain un nastro magnetico contenente 150 000 numeri della sicurezza sociale e informazioni su carte di credito di 650 000 clienti al dettaglio. J.C. Penney è uno dei 230 dettaglianti coinvolti.^[39]
• Horizon Blue Cross Blue Shield of New Jersey, gennaio, 300 000 membri^[3]
• Lifeblood, febbraio, 321 000 donatori di sangue^[3]
• Partito Nazionale Britannico, divulgazione della lista di membri^[40]
• All'inizio del 2008, Country Financial (in seguito acquistata da Bank of America), asseritamente cadde vittima di un data breach quando, secondo resoconti giornalistici e documenti processuali, il dipendente Rene L. Rebollo Jr. rubò e vendette fino a 2,5 milioni di informazioni personali di clienti tra cui numeri della sicurezza sociale.^[41][42] Secondo l'esposto legale: "A partire dal 2008 — per coincidenza dopo che vendettero i loro portafogli ipotecari in nome di malintesi e fraudolenti 'blocchi di sicurizzazione', e per coincidenza dopo che il loro portafoglio ipotecario era crollato in un enorme dissesto di conseguenza — Countrywide scoprì che le informazioni finanziarie di potenzialmente milioni di clienti erano state rubate da alcuni agenti, dipendenti Countrywide ed altri soggetti."^[43] Nel luglio 2010 Bank of America compose più di 30 cause legate a class action offrendo monitoraggio gratuito del credito, assicurazioni contro il furto di identità e rimborsi per le perdite per ben 17 milioni di consumatori coinvolti nell'asserito data breach. La transazione fu stimata in 56,5 milioni di dollari senza contare le spese processuali.^[44]

• Nel dicembre 2009 fu compromesso un database di password di RockYou contenente 32 milioni di nomi utente e password di puro testo, dimostrando ulteriormente la inadeguatezza ad ogni fine dell'uso di password deboli.^[45]
• Nel maggio 2009 The Daily Telegraph rivelò lo scandalo delle spese del Parlamento del Regno Unito.^[46] Venne proposto un hard disk contenente ricevute scandite di parlamentari UK a varie testate britanniche a fine aprile, e The Daily Telegraph si convinse di acquistarlo. Si pubblicarono dettagli di pagamenti a partire dall'8 maggio. Benché il Parlamento intendesse diffondere i dati, questo avvenne in una forma censurata, con la cancellazione dei particolari considerati "sensibili" per le personalità interessate. Il quotidiano pubblicò le scansioni "integrali" che mostravano i particolari delle voci, e molte sembravano trasgredire regole e lasciavano intendere un largo uso del generoso sistema di spesa pubblica. Il conseguente scandalo cagionò le dimissioni dello speaker della Camera dei comuni e la messa in stato di accusa e l'arresto di alcuni parlamentari per frode. Alcuni parlamentari si scusarono e fecero restituzioni totali o parziali, mantenendo il seggio. Altri parlamentari furono così screditati da non ripresentarsi alle elezioni del 2010. Benché riguardasse meno di 1500 soggetti, lo scandalo fu tra i più rappresentati dagli organi di informazione.
• Nel gennaio 2009 Heartland Payment Systems annunciò che era stata "vittima di una falla di sicurezza nel suo sistema di elaborazione", forse nell'ambito di un'"operazione globale di frode informatica".^[47] Questa intrusione è stata chiamata la più grande falla di dati di carte [di credito/debito] di ogni tempo, con stime che arrivano a 100 milioni di carte compromesse, appartenenti a più di 650 società di servizi finanziari.^[48]

• Nel corso dell'anno, Chelsea Manning divulgò una gran quantità di segreti militari.

• Nell'aprile 2011 la Sony subì un data breach nel suo PlayStation Network. Si stima che siano state compromesse le informazioni di 77 milioni di utenti.^[49]
• Nel marzo 2011 RSA SecurID soffrì un data breach dal deposito del suo sistema di token SecurID, in cui furono rubate le "chiavi" del suo sistema di autenticazione a due fattori, permettendo agli attaccanti di replicare i dispositivi token usati per l'accesso sicuro in ambienti aziendali e governativi.^[50]
• Nel giugno 2011 Citigroup rivelò un data breach nelle proprie attività di carte di credito, riguardante circa 211 000 persone ovvero l'1% degli account dei suoi clienti.^[51]

• Nell'estate 2012, il Senior Writer di Wired.com Mat Honan afferma "gli hacker hanno distrutto tutta la mia vita digitale nell'arco di un'ora" carpendo le sue password di Apple, Twitter e Gmail per accedere al controllo del suo Twitter e in tale operazione, afferma che gli hacker abbiano azzerato tutti i suoi dispositivi, cancellandone messaggi e documenti, tra cui tutte le foto scattate alla sua figlia di 18 mesi.^[52] L'attacco era stato compiuto con una combinazione di informazioni fornite agli hacker dal supporto tecnologico di Amazon attraverso social engineering, e il sistema di recupero password di Apple che usava tali informazioni.^[53] Con riferimento alla sua esperienza, Mat Honan scrisse un articolo che spiegava perché le password non possono tenere al sicuro gli utenti.^[54]
• Nell'ottobre 2012 una forza di polizia contattò il South Carolina Department of Revenue (DoR) (ufficio delle imposte) fornendo prova che erano stati rubati dati personali (Personally Identificabile Information (PII)) di tre soggetti.^[55] Fu poi riferito che erano stati compromessi 3,6 milioni di numeri della sicurezza sociale assieme a 387 000 record di carte di credito.^[56]

• Nell'ottobre 2013 Adobe Systems rivelò che il loro database aziendale era stato compromesso il suo database aziendale ed erano stati rubati qualcosa come 130 milioni di record di utenti. Secondo Adobe, "Per più di un anno il sistema di autenticazione di Adobe ha crittografato le password dei clienti usando l'algoritmo SHA-256, compreso il salting delle password e l'iterazione dell'hash più di mille volte. Questo sistema non era l'obiettivo dell'attacco che noi abbiamo annunciato pubblicamente il 3 ottobre 2013. Il sistema di autenticazione coinvolto nell'attacco era un sistema di backup e ne era prevista la dismissione. Il sistema coinvolto nell'attacco usava la cifratura Triple DES per proteggere tutte le informazioni sulle password immagazzinate."^[57]
• Tra fine novembre e inizio dicembre 2013 Target Corporation annunciò che erano stati rubati 70 milioni di carte di credito e debito. È la seconda fuga di dati su carte di pagamento dopo il data breach di TJX Companies, che aveva riguardato 46 milioni di carte.^[58]
• Nel 2013 Edward Snowden pubblicò una serie di documenti segreti che rivelavano un'ampia attività di spionaggio svolta dalla National Security Agency USA e da organizzazioni simili in altri Paesi.
• Nel 2013 Yahoo! rivela che gli sono stati rubati 500 milioni di account, nel 2016 il CISO del gruppo, Bob Lord, durante la trattativa di vendita della società a Verizon ammette che la fuga di dati avrebbe riguardato più di un miliardo di utenti, nel 2017 durante la fusione con AOL Yahoo! confessa che le cifre rivelate precedentemente non erano veritiere e che il data breach del 2013 aveva coinvolto tutti gli utenti iscritti.

• Nell'agosto 2014 furono rubate quasi 200 foto di celebrità da account di Apple iCloud, poi pubblicate sul sito di condivisione immagini 4chan. Un'inchiesta di Apple ha scoperto che le immagini erano state ottenute "da un attacco molto preciso su nomi utenti, password e domande di sicurezza".^[59] Nondimeno, dopo il celebrity breach, Apple rinforzò la sicurezza di iCloud attraverso un'autenticazione a due fattori facoltativa.^[60]
• Nel settembre 2014 Home Depot fu esposta ad un data breach di 56 milioni di numeri di carte di credito.^[61]
• Nell'ottobre 2014 Staples subì un data breach di 1,16 milioni di carte di pagamento di clienti.^[62]
• Nel novembre 2014, e per alcune settimane,^[63] Sony Pictures Entertainment subì un data breach riguardante informazioni personali su dipendenti Sony Pictures e loro familiari, e-mail tra dipendenti, informazioni su retribuzioni di dirigenti della società, copie di film Sony (al tempo) inediti, ed altre informazioni. Gli hacker responsabili dell'atto dichiarano di aver sottratto alla Sony 100 terabyte di dati.^[64]

• Nell'ottobre 2015 l'operatore di telecomunicazioni britannico TalkTalk subì un data breach per mano di un gruppo di hacker quindicenni che rubarono informazioni sui suoi 4 milioni di clienti. La quotazione in borsa della società cadde parecchio a causa di questo inconveniente — circa il 12% — soprattutto per la pubblicità sfavorevole conseguente alla falla.^[65]
• Nel luglio 2015 il sito per incontri extraconiugali^[66] Ashley Madison subì un data breach per l'attacco di un gruppo hacker che rubò le informazioni di 37 milioni di utenti. Gli hacker minacciarono di rivelare nomi utenti e dettagli se Ashley Madison e un sito analogo, EstabilihedMen.com, non avessero cessato l'attività permanentemente.^[67]
• Nel febbraio 2015 Anthem subì un data breach di circa 8o milioni di record, comprendenti dati personali come nomi, muori della sicurezza sociale, date di nascita, ed altri particolari sensibili.^[68]
• Nel giugno 2015 lo United States Office of Personnel Management del governo USA subì un data breach in cui furono sottratti i dati di 22,1 milioni di dipendenti ed ex dipendenti degli Stati Uniti.^[69]

• Nel febbraio 2016 l'hacker quindicenne britannico Kane Gamble divulgò informazioni personali di oltre 26 000 dipendenti FBI,^[70] tra cui nomi, numeri di sicurezza sociale, numeri di telefono e indirizzi mail dei dipendenti.^[71] Il giudice disse che Gamble era incorso in "cyber-terrorismo a sfondo politico".^[72]
• Nel marzo 2016 il sito della Commissione elettorale delle Filippine subì un defacing per opera del gruppo hacktivista Anonymous Filippine.^[73] Il giorno dopo sorse un problema più grande quando un gruppo chiamato LulzSec caricò su Facebook l'intero database della Commissione elettorale.^[74]
• Nell'aprile 2016 gli organi di informazione divulgarono notizie derivanti da un riuscito attacco hacker presso lo studio legale centro-americano Mossack Fonseca, e i conseguenti Panama Papers hanno avuto ripercussioni in tutto il mondo.^[75] Benché non sia ancora accertato se vi siano state attività illegali o non etiche, questo esemplifica senz'altro l'effetto della rivelazione di segreti. Il primo ministro islandese fu costretto a dimettersi^[76] e ci furono rimescolamenti politici in Paesi assai distanti, come Malta.^[77] Furono subito avviate numerose indagini in Paesi di tutto il mondo, tra cui una severa inchiesta negli USA sulle regole dell'attività bancaria internazionale^[78] o attraverso paradisi fiscali.^[79] Ovviamente le implicazioni sono enormi per la capacità di un'organizzazione — si tratti di uno studio legale o di una branca dell'amministrazione — di mantenere i segreti.^[80]
• Nel settembre 2016 Yahoo comunicò che nel 2014 erano stati compromessi fino a 500 milioni di account in quello che appariva un data breach "sponsorizzato da uno Stato".^[81] Nell'ottobre 2017 fu rivelato che gli account violati erano stati 3 miliardi, un numero pari a quello degli account di Yahoo esistenti all'epoca.^[82]

• Vault 7, tecnica di hacking CIA rivelata in un data breach.^[83] I documenti divulgati, con nome in codice Vault 7 e datati dal 2013 al 2016, descrivono la potenzialità della CIA nell'eseguire sorveglianza elettronica e guerra cyber,^[84] come la capacità di compromettere i sistemi operativi della maggior parte degli smartphone (tra cui iOS di Apple e Android di Google), ed anche altri sistemi operativi come Microsoft Windows, macOS e Linux.^[85] Joshua Adam Schulte, ex dipendente CIA, è stato accusato di aver divulgato segreti hacking CIA a WikiLeaks.^[86]
• Equifax, una delle tre società gestisce il credit rating negli Usa, il 29 luglio 2017 subisce il più grande data breach della storia all'epoca 145 500 000 record di consumatori, ma ne dà notizia solo il 7 settembre^[87] che portò alle condizioni della più grande class action della storia.^[88] I comuni di Chicago e San Francisco e lo Stato del Massachusetts hanno iniziato cause contro Equifax dopo il data breach del luglio 2017, in cui asseritamente avrebbero sfruttato una vulnerabilità nel software open source usato per creare il portale Equifax per l'arbitrato online dei consumatori.^[89] Gli hacker ebbero non solo informazioni su residenti USA, ma anche su cittadini di Regno Unito e Canada.^[90]
• Documenti militari riservati Stati Uniti-Corea del Sud, ottobre 2017. Un parlamentare sud coreano affermò che hacker nord coreani avessero rubato 235 gigabyte di documenti militari del Defense Integrated Data Center nel settembre 2016. I documenti divulgati comprendevano piani operativi di guerra Corea del Sud - Stati Uniti.^[91]
• Paradise Papers, novembre 2017.

• Scandalo Facebook-Cambridge Analytica in marzo.^[92]
• In marzo Google identificò una vulnerabilità che rendeva accessibili le informazioni personali di quasi mezzo milione di utenti. Avendo posto rimedio alla vulnerabilità, non rivelò agli utenti la compromissione sino a che — sei mesi più tardi — il problema fu raccontato da The Wall Street Journal.^[93]
• Il 1 agosto Reddit rivelò di esser vittima di hackeraggio. L'attaccante era riuscito a compromettere account di dipendenti sebbene usassero autenticazione a due fattori mediante SMS. Reddit non volle precisare il numero di utenti colpiti.^[94]
• Il 29 marzo Under Armour rivelò un data breach di 150 milioni presso MyFitnessPal, con dati compromessi consistenti di nomi utenti, indirizzi e-mail e password schermate da hash. Under Armour fu informata della fuga di dati la settimana tra il 19 e il 25 marzo, e il fatto era avvenuto in qualche giorno di febbraio.^[95]
• Il 1 aprile fu riferito che era avvenuto un data breach in danno di Saks Fifth Avenue / Lord & Taylor. I dati di 5 milioni di titolari di carte di credito possono essere stati compromessi in negozi del Nordamerica.^[96]
• Il 20 luglio fu riferito che era avvenuto un data breach presso SingHealth, una delle più grandi organizzazioni sanitarie di Singapore, con la compromissione di 1,5 milioni di dati personali (tra cui quelli di alcuni ministri, come lo stesso primo ministro Lee Hsien Loong). I ministri in una conferenza stampa definirono il data breach come "la più seria fuga di dati personali".^[97][98]
• Il 7 settembre fu annunciato un data breach che aveva colpito British Airways con il furto di 380 000 record di clienti, comprensivi di estremi bancari completi.^[99][100]
• Il 19 ottobre i Centers for Medicare & Medicai Services USA (CMS) denunciarono un data breach che aveva compromesso file di 75 000 soggetti.^[101]
• Il 3 dicembre Quora annunciò un data breach che coinvolgeva i dati di 100 milioni di utenti.^[102]

• In maggio i dati personali di circa 139 milioni di utenti del servizio di graphic design Canva furono esposti, e tra essi nomi reali, indirizzi e informazioni geografiche degli utenti, e hash delle password.^[103][104]
• Il 16 luglio l'agenzia delle entrate bulgara, un ramo del ministero delle finanze dei quel Paese.^[105]
• In settembre furono violati i dati dell'intera popolazione (17 milioni, assieme ai deceduti) dell'Ecuador dopo che la ditta di analisi di marketing Novestrat aveva trattato su server non sicuri (e di fatto divulgato) nomi completi, titoli di studio, numeri di telefono e numeri di identità nazionale.^[106]

• Il 7 luglio il sito di scrittura Wattpad subì un grave data breach per opera di ShinyHunters, con oltre 270 milioni di utenti coinvolti; i dati degli utenti furono venduti su un forum nel darknet, hash delle password compresi.^[107]
• A metà dicembre 2020 fu riferito che numerose entità governative federali USA e molte organizzazioni private di tutto il mondo che usavano prodotti SolarWinds, Microsoft e VMWare erano state vittima di vasto hackeraggio con fuga di dati.^[108]

• Data breach del 2021 di Microsoft Exchange Server.^[109]

• Il 18 settembre 2022 trapelano in rete 90 video riguardanti il prossimo titolo della serie Grand Theft Auto di Rockstar Games. L'azienda statunitense ne conferma la veridicità con un tweet^[110].

• Divulgazione totale
• Personal data breach (violazione dei dati personali)

Una violazione di dati personali è la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati.

• GDPR (General Data Protection Regulation)

Il Regolamento Generale sulla Protezione dei Dati (2016/679), entrato in vigore il 25 maggio 2018, è applicabile direttamente a livello nazionale e mira ad armonizzare le normative in materia di protezione dati all'interno dell'Unione Europea. Il GDPR si applica ai Titolari e ai Responsabili del trattamento situati all'interno dell'Unione Europea, o che offrono beni o servizi all'UE o che monitorano il comportamento di persone fisiche in tale territorio.

• Titolare del trattamento dei dati (Data controller)

Il Titolare del trattamento è la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento dei dati personali.

• Responsabile del trattamento dei dati (Data Processor)

Il Responsabile del trattamento è la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta i dati personali per conto del Titolare del trattamento.

• DPO (Data Protection Officer)

Il Responsabile della protezione dei dati monitora le conformità dell'organizzazione per la quale lavora dando consigli e linee guida relative agli obblighi di protezione dei dati e svolgendo il ruolo di punto di contatto tra gli interessati e l'autorità di controllo competente.

• Autorità di controllo (Supervisory Authority)

L'autorità pubblica indipendente istituita da uno stato membro ai sensi dell'articolo 51 del GDPR: "Ogni stato membro dispone che una o più autorità pubbliche indipendenti siano incaricate di sorvegliare l'applicazione del presente regolamento al fine di tutelare i diritti e le libertà fondamentali delle persone fisiche con riguardo al trattamento e di agevolare la libera circolazione dei dati personali all'interno dell'Unione Europea.". In Italia tale autorità è stata conferita al garante per la protezione dei dati.

• Problemi di privacy nei siti di social network

• "Data Loss DatabaseArchiviato il 19 settembre 2015 su wayback.archive-it.org URL di servizio di archiviazione sconosciuto." è un progetto di ricerca dedicato a documentare incidenti per fuga di notizie noti e documentati in tutto il mondo.
• "Breaches Affecting 500 or More Individuals", Fughe di dati segnalate allo U.S. Department of Health and Human Services da soggetti (HIPAA-covered).

Portale Sicurezza informatica: accedi alle voci di Teknopedia che trattano di sicurezza informatica