Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Appalti nel settore cyber, premi a chi sceglie le soluzioni di Paesi NATO e terzi. Tra questi anche Israele
Scoperte nuove vulnerabilità di ChatGPT che portano a leak di dati
In aumento gli attacchi alle applicazioni pubbliche, calano i ransomware: il report di Cisco Talos
Il 25% dei leader aziendali italiani non comprende l’importanza della cybersecurity
CERT-AGID 25–31 ottobre: PagoPA, ministeri e università nel mirino del phishing

Grave bug nel servizio Entratel rendeva pubbliche le fatture elettroniche

Set 25, 2017 Giancarlo Calzetta Leaks, News, Privacy, RSS 0

Entratel, il sistema di gestione delle fatture elettroniche, “dimenticava” di controllare l’identità di chi chiedeva informazioni sulle fatture inoltrate, esponendo i dati sensibili e fiscali di tutti gli utenti.

Il sistema Entratel dell’Agenzia delle Entrare, dedicato alla trasmissione alla pubblica amministrazione delle fatture elettroniche, era completamente privo di filtri di sicurezza.

Qualsiasi utente loggato, dal semplice contribuente all’azienda passando per commercialisti e altre entità, potevano aver accesso ai documenti inviati da chiunque, semplicemente inserendone il codice fiscale.

La falla, che ha dell’incredibile, non è ancora chiaro da quanto tempo fosse attiva, ma venerdì scorso è stata scoperta e l’Agenzia delle Entrate ha subito disabilitato il servizio che risulta tuttora disattivato. L’ipotesi più probabile per una sua ripartenza è quella di martedì in giornata, mentre i commercialisti sono sul piede di guerra per alcune scadenze da rivedere.

Il direttore dell’Agenzia delle Entrate, Ernesto Maria Ruffini, ha dichiarato di essere estremamente determinato a ricercare responsabilità interne ed esterne in quella che, secondo noi, è una dimostrazione di incompetenza davvero esemplare.

Possiamo capire un bug nel codice dell’applicazione web, ma che mancasse un qualsiasi filtro è davvero inconcepibile.

Ovviamente, i dati che sono stati ottenuti senza autorizzazione sono ormai andati, ma siamo curiosi di vedere se dall’analisi dei log si riuscirà a risalire almeno al momento in cui l’errore si è palesato, sperando che non sia sempre stato lì, e quanti accessi non autorizzati siano stati possibili.

Quest’ultimo dato, purtroppo, resterà sempre una stima dal momento che gli studi commercialisti e alcune altre realtà avevano la possibilità di accedere ai dati dei loro clienti direttamente tramite lo stesso account.

Anche il garante della Privacy si sta muovendo sulla vicenda per capire se si è trattato di un evento imprevedibile o di una mancata applicazione delle norme di tutela. Noi restiamo in attesa di una spiegazione a un evento che ancora facciamo fatica a considerare reale.

Condividi l'articolo