Dati dei clienti rubati e sito hackerato: di chi è la responsabilità legale e contrattuale?

Invece di cercare subito un colpevole, fate subito questi 3 passi: 1) Se non sono ancora passate le 72 ore, fate la notifica preliminare al garante regionale per la privacy. 2) Fate fare uno snapshot del server e congelate le prove, nn reinstallate subito tutto da zero x carità. 3) Sentite subito un avvocato specializzato in diritto informatico.

Nei contratti standard delle agenzie c'è quasi sempre la clausola "l'agenzia non risponde delle falle derivanti da plugin di terze parti". Con una cifra bassa come 350 EUR al mese è davvero dura che abbiano garantito una copertura completa su vulnerabilità e penetration test. Molto probabilmente le spese legali supereranno il risarcimento che potreste ottenere.

Abbiamo avuto un caso identico due anni fa. Abbiamo speso 4.800 EUR per l'analisi forense e la perizia tecnica, e 3.200 EUR per l'avvocato specializzato. L'ufficio della privacy non ha fatto sanzioni perché abbiamo notificato in tempo e gestito tutto in modo trasparente, hanno dato solo un richiamo formale. La causa contro l'agenzia è durata 14 mesi e si è chiusa con un accordo transattivo parziale.

Bisogna distinguere bene i due piani legali: nei rapporti esterni (Stato e cittadini danneggiati) gli unici responsabili siete voi. Nei rapporti interni entra in gioco il contratto con l'agenzia. Se tra l'altro non avete firmato un AVV (Auftragsverarbeitungsvertrag) con l'agenzia, rischiate una sanzione dall'organo di vigilanza anche solo per aver fatto trattare i dati senza contratto.

Quando è successo a noi l'agenzia se n'è uscita dicendo "è stato un attacco brute force sul server, il nostro codice è pulito". Abbiamo fatto fare una perizia a un consulente terzo: è venuto fuori che non avevano reso obbligatoria la 2FA sul pannello admin e c'era una falla nota su un modulo non patchata da 6 mesi. Messa la perizia sul tavolo, l'assicurazione professionale dell'agenzia ha coperto metà del danno.

Nel contratto c'è scritto ogni quanto tempo andavano fatti gli aggiornamenti? Tipo c'è una clausola "le patch critiche si applicano entro 48 ore"? Poi le password e i dati dei clienti nel database erano crittografati (hash/salt) o salvati in chiaro?

il classico scaricabarile: l'agenzia dà la colpa al provider, il provider a chi ha scitto il plugin e lo sviluppatore del plugin è irreperibile da anni ma boh il conto alla fine lo paga sempre chi ha intestato il dominio. chiama subito l'avvocato, fidati.

PS: è stato chiesto qui sotto, ho scritto la risposta nel secondo messaggio.

Sono d'accordo. Cercare di farlo da soli è la strada più costosa.

Se la verifica in due passaggi è attiva una password rubata da sola non serve a nulla. Naturalmente cambia se la vostra situazione è diversa.

Ti seguo.

A me è successo l'esatto contrario, per questo scrivo. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Questa è la mia opinione, non la scrivo come verità assoluta.

guardando al processo, il quadrro cambia poi non abbiate paura di chiedere chi non chiede paga sempre di più.

se scrievte qui il risultato sarà utile anche ad altri.

non lo sapevo.

In teoria è giusto in pratica non funziona così. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Nessun processo migliora senza tracciamento perché non sai cosa correggere. Spero che le sia utile.

La discussione si è dispersa, la riassumo. La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Spero che le sia utile.

Sono emerse tre opinioni diverse, si completano a vicenda. La risposta varia molto in base al settore, non esiste una regola generale.

Naturalmente cambia se la vostra situazione è diversa.

Grazie per averlo scritto, è proprio così. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Lascio una nota, potrebbe servire.

Sono d'accordo... Non abbiate paura di chiedere chi non chiede paga sempre di più.

Ti seguo.