Con l’adozione di un documento sulla libera circolazione dei dati e del Piano d’azione 2026, si è conclusa la presidenza canadese del G7 delle Autorità di protezione dei dati.
Dopo l’appuntamento a Ottawa, i rappresentanti dei Garanti privacy dei 7 Grandi si sono trovati online il 9 e 10 dicembre per una riunione (Roundtable) al termine della quale hanno ribadito l’impegno nel continuare a promuovere e supportare la fiducia per un’innovazione responsabile che tuteli il diritto alla riservatezza, in particolare dei minori.
La delegazione del Garante per la protezione dei dati personali è stata guidata nel corso della prima giornata dall’avv. Guido Scorza e nella seconda dalla Vice Presidente, prof.ssa Ginevra Cerrina Feroni.
Browser extensions with 8 million users collect extended AI conversations
Besides ChatGPT, Claude, and Gemini, the extensions harvest all conversations from Copilot, Perplexity, DeepSeek, Grok, and Meta AI. Koi said the full description of the data captured includes:
Every prompt a user sends to the AI
Every response received
Conversation identifiers and timestamps
Session metadata
The specific AI platform and model used
The executor script runs independently from the VPN networking, ad blocking, or other core functionality. That means that even when a user toggles off VPN networking, AI protection, ad blocking, or other functions, the conversation collection continues. The only way to stop the harvesting is to disable the extension in the browser settings or to uninstall it.
Koi said it first discovered the conversation harvesting in Urban VPN Proxy, a VPN routing extension that lists “AI protection” as one of its benefits. The data collection began in early July with the release of version 5.5.0.
“Anyone who used ChatGPT, Claude, Gemini, or the other targeted platforms while Urban VPN was installed after July 9, 2025 should assume those conversations are now on Urban VPN’s servers and have been shared with third parties,” the company said. “Medical questions, financial details, proprietary code, personal dilemmas—all of it, sold for ‘marketing analytics purposes.’”
Following that discovery, the security firm uncovered seven additional extensions with identical AI harvesting functionality. Four of the extensions are available in the Chrome Web Store. The other four are on the Edge add-ons page. Collectively, they have been installed more than 8 million times.
They are:
Chrome Store
Urban VPN Proxy: 6 million users
1ClickVPN Proxy: 600,000 users
Urban Browser Guard: 40,000 users
Urban Ad Blocker: 10,000 users
Edge Add-ons:
Urban VPN Proxy: 1,32 million users
1ClickVPN Proxy: 36,459 users
Urban Browser Guard – 12,624 users
Urban Ad Blocker – 6,476 users
Read the fine print
The extensions come with conflicting messages about how they handle bot conversations, which often contain deeply personal information about users’ physical and mental health, finances, personal relationships, and other sensitive information that could be a gold mine for marketers and data brokers. The Urban VPN Proxy in the Chrome Web Store, for instance, lists “AI protection” as a benefit. It goes on to say:
Google will end dark web reports that alerted users to leaked data
As Google admits in the email alert, its dark web scans didn’t offer much help. “Feedback showed that it did not provide helpful next steps,” Google said of the service. Here’s the full text of the email.
Credit: Google
With other types of personal data alerts provided by the company, it has the power to do something. For example, you can have Google remove pages from search that list your personal data. Google doesn’t run anything on the dark web, though, so all it can do is remind you that your data is being passed around in one of the shadier corners of the Internet.
The shutdown begins on January 15, when Google will stop conducting new scans for user data on the dark web. Past data will no longer be available as of February 16, 2026. Google says it will delete all past reports at that time. However, users can remove their monitoring profile earlier in the account settings. This change does not impact any of Google’s other privacy reports.
The good news is that the best ways to protect your personal data from being shuffled around the dark web are the same ones that keep you safe on the open web. Google suggests always using two-step verification, and tools like Passkeys and Google’s password checkup can ensure you don’t accidentally reuse a compromised password. Stay safe out there.
Nel periodo compreso tra il 6 e il 12 dicembre, il CERT-AGID ha rilevato e analizzato 62 campagne malevole che hanno interessato il territorio italiano.
Di queste, 25 hanno avuto obiettivi specificamente italiani, mentre 37 campagne di natura generica hanno comunque coinvolto utenti e organizzazioni nel Paese.
Nel complesso, sono stati messi a disposizione degli enti accreditati 1.293 indicatori di compromissione (IoC).
I temi della settimana
Sono 22 i temi sfruttati per la diffusione di malware e phishing, con la consueta attenzione su temi quali banking, ordini, verifiche e pagamenti.
Il CERT-AGID ha rilevato 62 campagne malevole in Italia, ed emesso 1.293 indicatori di compromissione.
Il tema Banking è stato utilizzato in sette campagne malware generiche finalizzate alla diffusione di FvncBot, ClayRat, Anatsa, Albiriox, DroidLock e PhantomStealer, tutte mirate al furto di credenziali e informazioni finanziarie, in particolare su dispositivi mobili.
Parallelamente è stata osservata una campagna di phishing italiana ai danni di Intesa Sanpaolo, che conferma l’attenzione costante verso i clienti bancari.
Il tema Ordine ha interessato cinque campagne, sia italiane che internazionali, tutte orientate alla distribuzione di malware come AgentTesla, FormBook, PhantomStealer, XWorm e Remcos.
Lo stesso tema è stato sfruttato anche in due operazioni di phishing rivolte a utenti OneDrive e a servizi di webmail generici, sfruttando la consueta leva degli acquisti e delle spedizioni.
Il tema Verifica è comparso in cinque campagne di phishing, due delle quali italiane, che hanno abusato del nome di American Express, Roundcube, Nexi e cPanel, simulando richieste di controllo o aggiornamento degli account per indurre le vittime a inserire le proprie credenziali.
Il tema Pagamenti, osservato in quattro campagne di phishing, ha preso di mira DocuSign, Autostrade per l’Italia e InfoCert. Una campagna generica parallela ha invece diffuso il malware DarkCloud.
Tra gli eventi di particolare interesse, il CERT-AGID segnala una campagna di phishing che sfrutta nome e logo della Polizia di Stato per sottrarre credenziali email.
L’operazione si distingue per l’uso di un endpoint API di Webflow, utilizzato dagli attaccanti per ottenere in modo automatico i dati inseriti dalle vittime.
Fonte: CERT-AGID
È stata inoltre rilevata una campagna mirata contro studenti e personale di atenei italiani, che utilizza come esca una mail con oggetto “R: Urgente – Elenco dei borsisti”.
Il link presente nel messaggio conduce a una pagina che replica il logo del Ministero dell’Università e della Ricerca (MUR) e successivamente reindirizza verso un falso portale di login Microsoft, dove avviene il furto delle credenziali istituzionali.
Infine, a partire dall’8 dicembre, è in corso una campagna che sfrutta account email compromessi della Pubblica Amministrazione per colpire in modo massivo altri destinatari appartenenti alla PA, mediante invii in CCN.
I messaggi contengono allegati PDF con link a risorse ospitate su Figma, sfruttando la fiducia nella filiera istituzionale per sottrarre credenziali o diffondere ulteriori payload malevoli.
Malware della settimana
Nel corso della settimana sono state individuate 14 famiglie di malware attive in Italia.
AgentTesla è stato osservato in una campagna italiana a tema “Fattura” e in quattro campagne generiche legate a “Ordine”, “Fattura”, “Contratti” e “Prezzi”, veicolate tramite allegati TAR, RAR e LZH.
FormBook ha colpito attraverso una campagna italiana a tema “Ordine” con allegato DOCX e due campagne generiche “Prezzi” distribuite tramite RAR e XLSX.
Fonte: CERT-AGID
Remcos è stato utilizzato in una campagna italiana e in due generiche a tema “Booking” e “Fattura”, veicolate con allegati DOCX e 7Z.
DarkCloud compare in due campagne generiche a tema “Prezzi” e “Pagamenti”, mentre Guloader è stato osservato in una campagna italiana “Contratti” e in una generica “Delivery”.
PhantomStealer è stato individuato in due campagne generiche che hanno sfruttato i temi “Banking” e “Ordine”. In entrambi i casi il malware è stato distribuito tramite email contenenti allegati RAR.
Rilevante anche la presenza di numerose campagne malware per dispositivi Android, che diffondono Albiriox, Anatsa, ClayRat, DroidLock e FvncBot tramite SMS con link a file APK dannosi, tutte concentrate sul tema Banking.
Completano il quadro alcune campagne generiche che hanno diffuso Grandoreiro, Obj3ctivity e XWorm, utilizzando allegati XLAM, JS e ISO inviati via email.
Phishing della settimana
Sono 22 i brand coinvolti nelle campagne di phishing analizzate.
Fonte: CERT-AGID
Per numerosità spiccano le operazioni che sfruttano i nomi di cPanel e PagoPA, insieme alle sempre presenti campagne di webmail non brandizzate, ancora largamente utilizzate per il furto di credenziali.
Formati e canali di diffusione
Gli archivi compressi restano lo strumento principale per la diffusione dei contenuti malevoli.
Nel periodo osservato sono state individuate 13 tipologie di file, con APK al primo posto (7 utilizzi), seguiti da RAR e TAR (4).
Fonte: CERT-AGID
Seguono DOCX (3) e 7Z, ZIP e JS (2). Con un solo utilizzo figurano ISO, XLSX, XLS, LZH, PDF e XLAM.
Chat Control 2.0: il punto di non ritorno della sorveglianza digitale europea
Chat Control 2.0 rappresenta il più ambizioso progetto di sorveglianza digitale mai proposto in Europa: un regolamento che autorizzerebbe la scansione automatica di messaggi, email e contenuti privati di centinaia di milioni di cittadini. L’obiettivo dichiarato è contrastare la pedopornografia online, ma il prezzo da pagare potrebbe essere la fine della segretezza delle comunicazioni. Con l’avvio dei triloghi a dicembre 2025, l’UE si trova a un bivio tra sicurezza e libertà fondamentali.
Perché l’astensione dell’Italia potrebbe trasformarsi in un diniego costituzionale al regolamento
Chat Control è una proposta della Commissione Europea che prevede l’introduzione di sistemi automatizzati in grado di scansionare messaggi, immagini e video privati alla ricerca di contenuti illegali relativi allo sfruttamento dei minori. La misura si applicherebbe potenzialmente a:
piattaforme di gaming con messaggistica integrata;
strumenti di comunicazione interna nelle aziende;
backup personali.
Una delle caratteristiche più criticate della proposta è che la scansione avverrebbe anche in assenza di un sospetto, configurando una forma di sorveglianza generalizzata e preventiva, senza distinzione tra cittadini innocenti e criminali.
L’obiettivo dichiarato è nobile e incontestabile: contrastare la pedopornografia online, un fenomeno odioso e in crescita. Tuttavia, la strada scelta dall’Unione Europea apre scenari delicatissimi per la privacy, la sicurezza digitale e, in ultima analisi, la tenuta democratica del continente.
La fase finale dei negoziati tra Parlamento Europeo, Commissione e Consiglio (trilogo) è iniziata il 9 dicembre 2025. Se non ci saranno impedimenti, Chat Control potrebbe diventare effettivo tra marzo e aprile 2026. L’avvio del trilogo rappresenta molto più della fase conclusiva di un iter legislativo: è il momento in cui l’UE decide se costruire o meno la più grande infrastruttura di sorveglianza preventiva della storia democratica europea.
L’astensione dell’Italia, insieme a quella della Germania, non è un dettaglio politico. È un segnale d’allerta: molti elementi del regolamento appaiono in contrasto con i principi costituzionali degli Stati membri, in particolare con l’articolo 15 della Costituzione italiana, che garantisce l’inviolabilità della libertà e della segretezza delle comunicazioni. Non è un tecnicismo giuridico, ma il cuore del rapporto tra individuo e potere pubblico.
Il paradosso strutturale di Chat Control 2.0: una sorveglianza preventiva, non reattiva
Il regolamento nasce per contrastare gli abusi sessuali sui minori online, obiettivo che nessuno contesta. Ma la modalità scelta rappresenta un cambio di paradigma: dalla sorveglianza mirata, basata su indizi concreti e autorizzata da un giudice, alla sorveglianza preventiva, generalizzata e algoritmica su tutta la popolazione. Una svolta che ricorda il passaggio dal “controllo su indizi” al “profiling predittivo” tipico dell’intelligence, applicato però al cuore della vita digitale: le comunicazioni private.
Il falso mito della “volontarietà” e il meccanismo di pressione normativa
La prima bozza (bocciata il 9 ottobre 2025) prevedeva esplicitamente la scansione generalizzata dei contenuti delle chat, comprese quelle protette da crittografia end-to-end. Non sorprende che le critiche siano arrivate da EDPS, Garanti nazionali, esperti di sicurezza, giuristi e attivisti per i diritti digitali, che la consideravano una forma di sorveglianza di massa incompatibile con i principi europei.
La versione riscritta dalla Danimarca modifica l’impianto originario. Secondo il mandato negoziale approvato dal Consiglio, la rilevazione diventa formalmente volontaria: i gestori dei servizi possono scegliere se applicarla o meno. Il nuovo impianto prevede che:
i provider possano scegliere se attivare la scansione;
debbano comunque effettuare una valutazione obbligatoria del rischio;
se risultano “ad alto rischio”, le autorità possano imporre misure correttive;
sul piano economico e reputazionale, la scelta più sicura diventa attivare la scansione.
È un classico caso di compliance indotta: la legge non ordina esplicitamente, ma rende troppo rischioso non conformarsi. Per questo gli analisti definiscono la scansione “volontaria” solo sulla carta ma coercitiva nella sostanza.
La scelta non spetta agli utenti, ma ai provider: sono loro a decidere se i nostri messaggi saranno analizzati.
C’è poi un ulteriore incentivo: più comunicazioni vengono scansionate, più dati possono essere usati per addestrare modelli di intelligenza artificiale. Un vantaggio economico e tecnologico che può spingere verso una sorveglianza permanente.
La storia recente suggerisce che la distinzione tra obbligo formale e pressione informale è spesso teorica, durante la pandemia, molte piattaforme hanno rimosso o penalizzato contenuti su pressioni politiche, come rivelato dai Twitter Files e dalle dichiarazioni di Mark Zuckerberg al Congresso USA, il risultato è stato un ecosistema di censura di fatto su contenuti perfettamente leciti, etichettati come disinformazione o “lawful but awful”, tecnicamente legali ma politicamente scomodi. Ciò che era “volontario” si è trasformato in uno standard di fatto. Applicata a Chat Control, la dinamica diventa particolarmente pericolosa.
Una tensione giuridica irrisolta: privacy e sicurezza in conflitto strutturale
Il regolamento promette che la crittografia end-to-end non verrà indebolita. Ma per rilevare contenuti illeciti in una comunicazione cifrata, l’unico punto di intervento è il dispositivo dell’utente, prima della cifratura, cioè il client-side scanning, tecnicamente equivalente ad una intercettazione generalizzata.
La vera spia di allarme rosso su cui riflettere, è nell’articolo 85(1a) della bozza di regolamento, che incarica la Commissione di valutare periodicamente tecnologie di rilevazione per servizi con crittografia E2EE. Oggi non possono imporre il client-side scanning, ma si riservano il diritto di riprovarci.
La domanda diventa inevitabile: se ogni messaggio può essere analizzato prima di essere cifrato, la comunicazione è ancora “segreta” ai sensi dell’articolo 15 della Costituzione? Molti giuristi rispondono NO.
Da qui la possibile trasformazione dell’astensione italiana in un diniego costituzionale: l’ordinamento non può approvare una norma che svuota di fatto la segretezza delle comunicazioni per 60 milioni di cittadini.
Function creep: un’infrastruttura pronta per usi futuri
Il regolamento delinea un apparato completo:
un EU Centre con database, indicatori e metriche;
comitati tecnici incaricati di sviluppare ulteriormente tecnologie di mitigazione;
obblighi per i provider di integrare strumenti di rilevazione quando richiesto.
Oggi il focus è il CSAM. Domani potrebbe essere terrorismo, hate speech, disinformazione, opposizione politica “radicale”. Una volta costruita l’infrastruttura, ampliarne lo scopo sarà una decisione politica, non tecnica. È il rischio classico di function creep, che in un contesto democratico dovrebbe essere considerato inaccettabile.
L’EU Centre: un nuovo potere sovranazionale con capacità operative ibride
L’EU Centre on Child Sexual Abuse:
riceve segnalazioni da provider e piattaforme • le valida con algoritmi e revisori umani • coopera direttamente con le forze dell’ordine • può influenzare tecnologie e standard europei sulle comunicazioni private
Nasce così una struttura sovranazionale, non eletta, con poteri operativi, tecnici e normativi. È esattamente il contesto in cui il function creep diventa più probabile: una volta installato un sistema di sorveglianza generalizzata, impedirne l’estensione è quasi impossibile.
Il rischio strategico: la normalizzazione della sorveglianza algoritmica in Europa
La tecnologia raramente rimane confinata allo scopo originario. Se esiste un’infrastruttura capace di analizzare contenuti, identificare pattern, coordinare polizie, profilare rischi, la tentazione di estenderla sarà inevitabile. Storicamente, il passaggio dall’abuso sui minori al dissenso politico è il più documentato nello sviluppo dei sistemi di sorveglianza.
Proporzionalità e necessità: due principi europei ignorati
La Corte di Giustizia dell’UE ha stabilito in più sentenze (Digital Rights Ireland, Tele2 Sverige, La Quadrature du Net) che:
la sorveglianza generalizzata delle comunicazioni non è mai proporzionale;
è ammessa solo su individui o gruppi specifici;
la raccolta preventiva e indiscriminata viola la Carta dei Diritti Fondamentali.
Chat Control 2.0 entra pienamente in questo schema vietato. Come potrà superare il vaglio della Corte una volta approvato?
La vulnerabilità sistemica della società digitale europea
Creare un meccanismo di scansione centralizzato significa:
aumentare la superficie d’attacco per spionaggio e cybercrime;
introdurre backdoor potenziali nelle piattaforme;
facilitare abusi interni;
indebolire l’ecosistema della crittografia.
Qualsiasi infrastruttura progettata per “controllare tutto” diventa un bersaglio irresistibile per Stati ostili e cybercriminali. Una vulnerabilità in un tale sistema comporta rischi sistemici per milioni di cittadini.
L’effettività: il regolamento colpisce davvero i criminali?
Gli abusi reali vengono spesso scambiati:
in darknet chiuse;
su reti P2P cifrate;
tramite strumenti decentralizzati;
in circoli privati offline;
in contesti che il regolamento non può raggiungere.
Chat Control rischia dunque di colpire soprattutto i cittadini comuni, lasciando intatti i criminali più organizzati, producendo falsi positivi e sovraccaricando le indagini.
Falsi positivi e “danno collaterale digitale”
Il regolamento riconosce formalmente l’esistenza degli errori, citando falsi positivi, falsi negativi, oversight umano e metriche di errore.
Tabella 1
Dalla Tabella 1 emergono elementi strutturali inquietanti :
Gli errori sono considerati inevitabili
Il testo richiede tecnologie “sufficientemente affidabili”, invita a “limitare al massimo possibile il tasso di errori” e prevede valutazioni periodiche, ma:
non esistono soglie minime di accuratezza;
non esistono limiti oltre i quali la tecnologia è vietata;
non esistono criteri chiari per definire l’accettabilità dell’errore.
L’errore, però, non è neutrale: significa cittadini innocenti che finiscono in database, sotto indagine o con account sospesi.
“Limitare al massimo possibile”: una formula vaga
Chi decide qual è “il massimo possibile”? Quali benchmark? Con quali sanzioni in caso di imprecisione? Il rischio è che la formula diventi un paracadute retorico per giustificare sistemi con numerosi falsi positivi.
Oversight umano: paracadute o illusione?
Il regolamento insiste su “oversight umano regolare”, ma nella pratica:
i volumi saranno altissimi; il lavoro è psicologicamente gravoso; la pressione regolatoria spinge al “meglio segnalare troppo”.
Il controllo umano può trasformarsi in un clic routinario.
Metriche per le autorità, opacità per gli utenti
L’articolo 83 impone metriche ai provider, ma:
solo EU Centre e autorità vedono i dati;
gli utenti non hanno accesso a statistiche dettagliate;
manca trasparenza granulare.
Lo Stato può normalizzare statisticamente l’errore; chi vi finisce dentro lo vive come una violazione gravissima.
Incentivo all’over-reporting
Segnalare troppo poco comporta rischi; segnalare troppo non comporta costi. Il sistema è strutturalmente orientato all’eccesso di segnalazione.
Tutela ex post, danno ex ante
Il regolamento prevede:
reclami;
ricorsi;
rappresentanza tramite enti.
Ma quando l’utente agisce:
il contenuto è già stato rimosso:
l’account può essere sospeso;
la segnalazione è già arrivata alle autorità;
un’indagine può essere iniziata.
Anche in caso di archiviazione restano log, copie, danni emotivi e reputazionali. È un modello “ti proteggo dopo averti colpito”. Nel complesso, il regolamento appare costruito per accettare l’errore come costo sistemico, confidando che metriche e oversight lo mantengano gestibile.
Asimmetria informativa e crisi di fiducia
Le autorità vedono tutto in macro; i provider controllano l’infrastruttura; i cittadini vedono solo gli effetti sul proprio account. Questo si inserisce in un contesto europeo già segnato dal crollo di fiducia verso istituzioni, media e organismi sovranazionali.
In tale scenario, Chat Control può essere percepito:
come strumento di ordine in un mondo instabile;
come strumento di sorveglianza contro dissidenti, giornalisti e oppositori.
Più la fiducia cala, più cresce la tentazione dei governi di usare il controllo al posto del consenso. E più cresce il controllo, più la fiducia cala: un circolo vizioso.
Guerra, intelligence e libertà: un equilibrio fragile
L’Europa si sta riarmando come non accadeva da decenni, in un contesto di confronto ibrido con la Russia e di instabilità globale. In scenari del genere, la privacy tende a diventare un ostacolo operativo. La storia lo dimostra: dopo l’11 settembre, il Patriot Act ha compresso diritti che, vent’anni dopo, sono ancora lì. Il rischio è che Chat Control diventi il primo pezzo di un’architettura permanente di sorveglianza digitale, giustificata dalla protezione dei minori ma pronta a espandersi ad altre emergenze future.
Perché l’Italia potrebbe dire definitivamente “no”: l’argomento costituzionale
Nessuna legge, nemmeno europea, può introdurre un sistema generalizzato di controllo delle comunicazioni in contrasto con l’articolo 15 della Costituzione. L’unica eccezione ammessa richiede:
un’indagine specifica;
un atto motivato dell’autorità giudiziaria;
destinatari determinati.
Chat Control 2.0 viola tutti e tre questi criteri. L’Italia deve quindi scegliere tra approvare un regolamento anticostituzionale o porre un diniego formale, avviando un conflitto giuridico con Bruxelles. L’astensione è un messaggio: l’Italia non può accettare un regolamento che viola un diritto “inviolabile”.
La questione politica più ampia: quale modello di società digitale vuole l’Europa?
Chat Control 2.0 non è solo un tema tecnico. È una scelta di civiltà. Si delineano due modelli:
Sicurezza preventiva attraverso sorveglianza pervasiva Simile ai modelli cinesi, russi o a quelli post-11 settembre.
Tutela dei diritti fondamentali come limite al potere Tradizione europea basata su proporzionalità, necessità, segretezza delle comunicazioni, warrant giudiziario, presunzione di innocenza.
Con Chat Control l’UE rischia di abbandonare gradualmente il secondo modello per avvicinarsi al primo.
Una società che rinuncia alla privacy rinuncia alla democrazia
La privacy non è un lusso: è la condizione che consente a giornalisti, attivisti, dissidenti e cittadini di operare senza paura. La sorveglianza preventiva produce autocensura sistemica e modifica i comportamenti umani prima ancora dell’intervento repressivo.
Chat Control 2.0 è una scelta antropologica, non tecnica
La questione è semplice, radicale, si basa su queste domande: Siamo disposti ad accettare una società in cui ogni comunicazione può essere analizzata da algoritmi? Siamo pronti a sacrificare la segretezza delle comunicazioni sulla promessa di tecnologie che generano errori elevati? Siamo consapevoli che i criminali continueranno a operare su canali invisibili mentre il controllo ricadrà sui cittadini comuni?
L’Italia, con il suo quadro costituzionale, ha la responsabilità di sollevare queste domande. Una volta costruita un’infrastruttura di sorveglianza generalizzata, smantellarla sarà quasi impossibile. Il 9 dicembre 2025 rischia di essere ricordato non come il giorno in cui l’Europa ha difeso i minori, ma come il giorno in cui ha aperto la porta alla più grande infrastruttura di sorveglianza mai approvata in tempo di pace. Per chi si occupa di democrazia, diritto e cybersicurezza, la posta in gioco è altissima: superata la linea della segretezza delle comunicazioni, tornare indietro sarà quasi impossibile.
Profilo Autore
Progettista di sistemi esperti, software developer, network e system engineer, con oltre 30 anni di esperienza nell’ambito della sicurezza delle informazioni, Francesco Arruzzoli è il Resp. del Centro Studi Cyber Defense Cerbeyra, dove svolge attività di R&D, analisi delle cyber minacce e progettazione di nuove soluzioni per la cyber security di aziende ed enti governativi. Esperto di Cyber Threat Intelligence e contromisure digitali, autore di libri ed articoli sue riviste del settore, in passato ha lavorato per multinazionali, aziende della sanità italiana, collaborato con enti governativi e militari. In qualità di esperto cyber ha svolto inoltre attività di docenza presso alcune università italiane.
Nel periodo compreso tra il 29 novembre e il 5 dicembre, il CERT-AGID ha analizzato 77 campagne malevole dirette verso cittadini, aziende e pubbliche amministrazioni italiane.
Di queste, 43 hanno avuto obiettivi specifici in Italia, mentre 34 campagne generiche hanno comunque coinvolto utenti italiani.
Gli enti accreditati hanno ricevuto 1.615 indicatori di compromissione (IoC), uno dei volumi più alti delle ultime settimane.
I temi della settimana
Sono 24 i temi utilizzati dai criminali per diffondere phishing e malware, con una prevalenza di attività legate a banking, multe, verifiche documentali e ordini commerciali.
Il tema Banking è stato sfruttato in sette campagne di phishing, quasi tutte italiane, che hanno preso di mira i clienti di SumUp, Morgan Stanley, Crédit Agricole, Intesa Sanpaolo e Unicredit.
77 campagne malevole rilevate in Italia, con 1.615 indicatori di compromissione.
In parallelo, attività malware hanno diffuso varianti come Copybara, AgentTesla, Lokibot, GoldFactory e PhantomStealer, confermando l’interesse costante dei criminali verso le credenziali finanziarie.
Il tema Multe, osservato in nove campagne, ha continuato a generare un forte volume di phishing basato su finte comunicazioni PagoPA. Le email simulano avvisi di sanzioni non pagate e indirizzano le vittime su pagine malevole progettate per sottrarre dati personali e bancari.
Il tema Verifica è emerso in sette campagne, quattro delle quali italiane. I criminali hanno abusato del nome di Mooney, Roundcube, iCloud, MetaMask e persino del Governo italiano, sfruttando la pressione esercitata dalle richieste di aggiornamento dei dati per convincere gli utenti a inserire credenziali e informazioni sensibili.
Il tema Ordine, presente in sei campagne, è stato usato esclusivamente per veicolare malware come AgentTesla, FormBook, StrRAT, XWorm e Remcos, confermando l’efficacia degli allegati fittizi relativi a spedizioni e acquisti.
Tra gli eventi di particolare interesse, il CERT-AGID ha segnalato una campagna di phishing che sfrutta nome e insegne della Presidenza del Consiglio dei Ministri, veicolata tramite email che invita le vittime a “verificare i dati bancari” per rispettare presunte nuove disposizioni.
La pagina di destinazione replica l’aspetto di un portale istituzionale e propone un menu di selezione multi-banca, attraverso il quale i criminali tentano di catturare le credenziali di home banking.
Fonte: CERT-AGID
Un’ulteriore campagna di rilievo riguarda un phishing che imita il sito ufficiale dell’Agenzia delle Entrate, promettendo un rimborso di 115,50 euro e conducendo le vittime a inserire dati personali e della carta di credito in una replica della piattaforma originale.
Malware della settimana
Sono 18 le famiglie di malware registrate nella settimana.
Remcos è stato diffuso tramite una campagna italiana a tema “Ordine”, veicolata con allegato RAR, e attraverso cinque campagne generiche legate a “Aggiornamenti”, “Contratti”, “Preventivi” e “Prezzi”. I criminali hanno utilizzato formati diversi, tra cui file Z, ZIP, RAR, 7Z e DOCX.
FormBook è comparso in cinque campagne generiche a tema “Delivery”, “Pagamenti”, “Ordine” e “Prezzi”, tramite allegati ZIP, 7Z, RAR e DOCX, confermandosi uno dei trojan più ricorrenti del trimestre.
AgentTesla è stato osservato in due campagne italiane, relative ai temi “Fattura” e “Ordine”, distribuite tramite file TAR, oltre che in due campagne generiche a tema “Banking” e “Booking”, veicolate con archivi ZIP e 7Z.
Fonte: CERT-AGID
XWorm ha riguardato due campagne italiane, con temi “Contratti” e “Booking”, distribuite rispettivamente tramite RAR e PDF, mentre due campagne generiche hanno sfruttato formati XLAM e RAR.
DarkCloud è stato individuato in due campagne generiche a tema “Pagamenti” e “Fattura”, mentre Lokibot ha colpito tramite due campagne generiche a tema “Banking” e “Pagamenti”, diffuse con allegati ZIP e DOC.
La settimana ha registrato anche una serie di campagne distribuite via SMS che hanno sfruttato APK dannosi.
Tra queste compaiono Albiriox a tema “Aggiornamenti”, Copybara in una campagna italiana a tema “Banking”, GoldFactory in una campagna generica sempre legata al settore finanziario e SeedSnatcher in un’operazione a tema “Cryptovalute”.
Completano il quadro ulteriori campagne che hanno diffuso ClayRat, Grandoreiro a tema Documenti, e PhantomStealer, PureLogs Stealer, StrRAT a tema Banking, Contratti e Ordine.
Si segnalano infine due campagne generiche QuasarRAT e zgRAT a tema Pagamenti e Prezzi, veicolate attraverso file RAR e ZIP
Phishing della settimana
Sono 25 i brand coinvolti nelle campagne di phishing rilevate nel periodo.
Prevalgono ancora una volta le campagne che imitano PagoPA, insieme a quelle che sfruttano iCloud e le numerose webmail non brandizzate, usate per sottrarre credenziali personali e aziendali.
Fonte: CERT-AGID
Formati e canali di diffusione
Gli archivi compressi restano lo strumento più utilizzato per diffondere malware.
Sono state individuate 15 tipologie di file, con RAR al primo posto (9 utilizzi), seguito da ZIP (6) e APK (5).
Seguono i formati 7Z (4), HTM, TAR e DOCX (2), mentre MSI, DOC, Z, PDF, ISO, VBS, XLAM e JAR hanno avuto un solo utilizzo.
La posta elettronica si conferma il canale dominante con 72 campagne, seguita da 4 campagne via SMS e 1 tramite Chat.
Digital Omnibus, la società civile europea è contraria. La Lettera dei 127
La Lettera congiunta di 127 organizzazioni civili contro il pacchetto Omnibus Digitale della Commissione europea
Il pacchetto Digital Omnibus approvato nei giorni scorsi continua a far discutere e 127 organizzazioni della società civile, insieme a sindacati e gruppi impegnati nella difesa dei diritti dei cittadini, hanno pubblicato una Lettera congiunta in cui spiegano i motivi della loro contrarietà alla proposta della Commissione europea.
Abbiamo seguito da vicino il percorso del pacchetto Omnibus, in particolare questa settima proposta di semplificazione, che riguarda il mondo delle tecnologie e dei servizi digitali, mirata a ridurre gli oneri amministrativi di almeno il 25 % e di almeno il 35 % per le piccole e medie imprese fino alla fine del 2029.
Ma dietro questa operazione di “pulizia tecnica” del digital acquis, il corpus legislativo europeo sul digitale, si intravede un cambio di paradigma che potrebbe ridisegnare — secondo molti al ribasso — alcuni tra i più importanti baluardi regolatori degli ultimi anni: GDPR, AI Act, Data Act, Direttiva e-Privacy e Direttiva NIS2.
<!-- ARUBA - 300x250 -->
Un rischio denunciato anche dai gruppi firmatari la Lettera in questione, attraverso cui hanno lanciato un appello pubblico per chiedere l’immediato stop di una misura che va investire leggi di massima rilevanza per la difesa dei diritti del cittadino. Secondo le 127 organizzazioni, ciò che è ancora descritto come un intervento tecnico di “semplificazione normativa” è in realtà un tentativo di smantellare alcune delle protezioni digitali più avanzate al mondo.
Omnibus Digitale e strategia di “deregolamentazione mascherata”
La lettera denuncia come la Commissione stia portando avanti una strategia di deregolamentazione mascherata, destinata a trasformare radicalmente le principali leggi europee su privacy, diritti digitali, intelligenza artificiale e governance delle piattaforme.
Il Digital Omnibus, infatti, riapre contemporaneamente testi legislativi fondamentali come il Regolamento generale sulla protezione dei dati (GDPR), la normativa europea che regola la privacy e la riservatezza nelle comunicazioni elettroniche, come l’uso dei cookie, il marketing via email e il tracciamento online (direttiva ePrivacy), la normativa europea sull’intelligenza artificiale, peraltro la prima al mondo (l’AI Act recentemente approvato), il Digital Services Act (DSA), il Digital Markets Act (DMA) e lo storico regolamento sulla neutralità della rete. Per la società civile si trattava della più ampia revisione al ribasso mai proposta nell’Unione europea in materia di diritti fondamentali.
Indebolimento del quadro normativo ePrivacy
Uno dei punti più contestati riguarda il rischio di indebolire il quadro ePrivacy, che negli ultimi anni era rimasto l’unico argine normativo a impedire che governi e aziende potessero tracciare costantemente ciò che avviene sui dispositivi personali degli utenti.
Le modifiche previste dall’Omnibus, secondo l’interpretazione proposta nella Lettera, potrebbero aprire la strada a forme di sorveglianza diffusa e potenzialmente legittimata, in un momento in cui varie indagini giornalistiche hanno già dimostrato come dati di localizzazione venduti sul mercato possono essere usati per spiare funzionari europei e semplici cittadini, rivelando perfino visite a luoghi sensibili come ospedali, cliniche e luoghi di culto. Indebolire le regole proprio in questo contesto, sostengono le ONG, rappresenta un passo indietro gravissimo per la protezione della vita privata.
Toccando l’AI Act si riducono le garanzie di sicurezza pensate per i sistemi più rischiosi
Preoccupazioni altrettanto forti riguardano l’impatto del pacchetto sull’AI Act. Il Digital Omnibus introduce, secondo i firmatari, modifiche capaci di ridurre le garanzie di sicurezza e trasparenza pensate per i sistemi di intelligenza artificiale più rischiosi.
Uno degli aspetti più problematici su cui è si chiede attenzione è la possibilità per gli sviluppatori di auto-esentarsi dalle regole: dichiarando unilateralmente che i loro sistemi non rientrano nelle categorie ad alto rischio si da loro la possibilità di sottrarsi alle verifiche obbligatorie.
Questo renderebbe molto più difficile per cittadini e autorità comprendere quali sistemi vengono usati per decisioni cruciali, come l’accesso a servizi sociali, prestiti o opportunità lavorative. Anche la riduzione degli obblighi di registrazione dei sistemi ad alto impatto è considerata un attacco alla trasparenza e alla tracciabilità dell’AI.
La protezione dei dati personali a rischio?
Non meno grave è l’attacco al GDPR, si legge nel documento. Il regolamento europeo sulla protezione dei dati, considerato uno standard globale, rischia di essere svuotato dall’interno attraverso modifiche che permetterebbero alle aziende di valutare autonomamente la propria conformità, senza un controllo efficace delle autorità garanti.
Ciò potrebbe compromettere uno degli strumenti che permette ai cittadini – compresi categorie vulnerabili come lavoratori, minori e persone senza documenti – di contestare abusi da parte di imprese e amministrazioni pubbliche. La deregolamentazione, denunciano i firmatari, non porterebbe maggiore efficienza o chiarezza, ma più potere nelle mani degli attori più grandi del mercato digitale.
L’impatto ambientale dell’AI
La lettera richiama anche il tema dell’impatto ambientale dell’intelligenza artificiale, evidenziando come i sistemi di ultima generazione richiedano quantità enormi di energia, acqua e risorse naturali. Invece di rafforzare i controlli e incentivare pratiche sostenibili, l’Omnibus rende ancora più semplice per le aziende addestrare modelli sempre più grandi, senza valutazioni adeguate sugli effetti per il pianeta e senza prove chiare del reale beneficio sociale di tecnologie così dispendiose.
Gli strumenti Omnibus aggirano il confronto democratico
Un altro nodo critico riguardava il metodo politico utilizzato dalla Commissione. Le organizzazioni denunciano un processo decisionale opaco, accelerato e strutturato per aggirare il normale confronto democratico con Parlamento europeo, società civile e comunità scientifica. Gli strumenti Omnibus, nati per armonizzazioni tecniche, vengono così usati per interventi strutturali su norme fondamentali, rischiando di creare un precedente pericoloso.
Nonostante il Digital Omnibus sia stato nel frattempo approvato, le osservazioni avanzate nella lettera restano pienamente attuali. I timori di una progressiva erosione delle tutele, di una maggiore concentrazione di potere nelle mani delle grandi piattaforme e di un indebolimento del controllo democratico continuano a essere al centro del dibattito europeo sulla governance tecnologica.
Semplificare non può significare deregolamentare
Il messaggio della Lettera è chiaro: semplificare non può significare deregolamentare e l’innovazione non può essere costruita sacrificando privacy, sicurezza e trasparenza.
La speranza, condivisa da molte delle organizzazioni che hanno lanciato l’allarme, è che le istituzioni europee tornino a considerare i diritti digitali non come ostacoli burocratici, ma come condizioni essenziali per uno sviluppo tecnologico realmente rispettoso delle persone e dell’ambiente. In gioco non c’è solo il futuro della regolamentazione digitale, ma la credibilità stessa del modello europeo basato sulla tutela dei diritti fondamentali.
Ue. Digital Omnibus, più rischi che crescita. Meno vincoli sull’AI, ma anche meno diritti
Digital Omnibus: la grande semplificazione Ue che rischia di indebolire la protezione dei dati. Favorite le Big Tech?
Oggi il trilogo europeo — il negoziato tra Consiglio dell’Unione europea, Parlamento europeo e Commissione europea — ha dato il via libera al Digital Omnibus, l’ampio pacchetto di semplificazione normativa con cui Bruxelles promette di rendere l’Europa “più semplice e veloce”. Si tratta della settima proposta omnibus, che si prefigge di realizzare uno sforzo di semplificazione mirato a ridurre gli oneri amministrativi di almeno il 25 % e di almeno il 35 % per le piccole e medie imprese fino alla fine del 2029.
“Abbiamo tutti gli ingredienti per avere successo nell’UE. Abbiamo talento, infrastrutture, un grande mercato interno unico. Ma le nostre aziende, in particolare le nostre start-up e le piccole imprese, sono spesso trattenute da strati di regole rigide. Riducendo la burocrazia, semplificando le leggi dell’UE, aprendo l’accesso ai dati e introducendo un portafoglio comune europeo per le imprese, diamo spazio all’innovazione affinché avvenga e sia commercializzata in Europa. Ciò avviene in modo europeo: facendo in modo che i diritti fondamentali degli utenti rimangano pienamente tutelati“, ha dichiarato Henna Virkkunen, Vicepresidente esecutiva per la Sovranità tecnologica, la sicurezza e la democrazia.
Di fatto, con l’omnibus digitale di oggi, la Commissione fa fare passi in avanti concreti alla sua proposta di semplificare le norme esistenti in materia di intelligenza artificiale (AI), cybersecurity e dati. Il meccanismo verrà inoltre utilizzato, secondo gli intenti di Bruxelles, anche per “pagare le tasse”.
<!-- ARUBA - 300x250 -->
Il pacchetto, come spiegato da Bruxelles in un comunicato ufficiale, “mira a facilitare il rispetto degli sforzi di semplificazione stimati per risparmiare fino a 5 miliardi di euro” in costi amministrativi entro il 2029. Inoltre, i portafogli europei delle imprese potrebbero sbloccare altri 150 miliardi di euro di risparmi ogni anno da reinvestire nel tessuto imprenditoriale continentale.
Ma dietro questa operazione di “pulizia tecnica” del digital acquis, il corpus legislativo europeo sul digitale, si intravede un cambio di paradigma che potrebbe ridisegnare — secondo molti al ribasso — alcuni tra i più importanti baluardi regolatori degli ultimi anni: GDPR, AI Act, Data Act, Direttiva e-Privacy e Direttiva NIS2.
Più spazio per innovare e crescere? O un indebolimento della tutela dei nostri diritti?
Secondo la Commissione, si tratta di un lavoro puramente tecnico per eliminare ridondanze, allineare definizioni e alleggerire gli oneri per imprese e pubbliche amministrazioni.
“La proposta odierna rappresenta un primo passo importante nella nostra agenda per la semplificazione digitale, volta a creare un contesto imprenditoriale più favorevole per le imprese europee. Semplificando le norme, riducendo gli oneri amministrativi e introducendo norme più flessibili e proporzionate, continueremo a mantenere il nostro impegno di dare alle imprese dell’UE più spazio per innovare e crescere“, ha affermato Valdis Dombrovskis, Commissario per l’Economia e la produttività e per l’Attuazione e la semplificazione.
Tuttavia, una lettura più attenta del pacchetto mostra come questa “semplificazione” rischi di tradursi in un indebolimento delle tutele, un aumento delle incertezze e un vantaggio competitivo soprattutto per le grandi piattaforme tecnologiche.
Un paradosso, se si considera che la narrazione ufficiale punta a “sostenere la crescita e la competitività delle imprese europee”.
Che cos’è il Digital Omnibus
Il Digital Omnibus è l’intervento più ampio mai realizzato sul digital acquis, perchè tocca quasi tutti i grandi atti legislativi del digitale europeo. L’obiettivo dichiarato è eliminare sovrapposizioni normative e rendere più chiari gli obblighi per imprese e pubbliche amministrazioni, dopo anni in cui le nuove norme — dal GDPR al DMA, dal DSA alla NIS2 — si sono accumulate senza un coordinamento organico.
In altre parole, Bruxelles ammette che la stratificazione normativa è diventata un problema in sé, generando:
costi amministrativi elevati,
incertezza giuridica,
difficoltà di applicazione,
incoerenze tra atti legislativi diversi.
Fin qui, nulla di male: una revisione tecnica era attesa. Il punto è “come” la Commissione ha scelto di risolvere il problema.
Cosa cambia sul GDPR: semplificazione o deregulation mascherata?
Tra le parti più delicate del pacchetto c’è la revisione del GDPR, ancora oggi il regolamento più citato come modello globale di tutela dei dati personali. Il rischio, però, è che la riforma finisca per ridurre proprio quella protezione che ha reso il GDPR uno standard internazionale.
Il problema, come ha spiegato l’avvocato Laura Greco, Studio Legale Giusella Finocchiaro, su Ntplus del Sole 24Ore, sono le “eccezioni”, che vogliono essere introdotte.
Tra gli interventi potenzialmente più problematici emergono:
1. Estensione della categoria dei “dati non personali”
2. Uso di categorie sensibili per l’addestramento dell’AI
Si aprirebbe alla possibilità di usare dati sensibili — come salute, orientamento sessuale o opinioni politiche — purché non vengano “direttamente” rivelati. Peccato che gli algoritmi possano inferire queste caratteristiche in modo estremamente preciso, anche senza dati dichiarati. Esempio:
il genere può essere dedotto da pattern salariali o cronologia di navigazione;
l’orientamento sessuale è stato inferito con alta accuratezza da immagini facciali.
3. Accesso più difficile ai propri dati
Le persone potrebbero vedersi respingere richieste di accesso, portabilità o opposizione alla profilazione se il titolare ritiene che la richiesta “non sia finalizzata alla protezione dei dati personali”. Un criterio vago che rischia di impedire l’accesso ai dati anche nei contenziosi di lavoro o in caso di discriminazioni algoritmiche.
4. Raccolta diretta di dati dai dispositivi degli utenti
Il Digital Omnibus potrebbe legittimare pratiche invasive, come l’estrazione di dati dagli smartphone per presunte finalità di sicurezza. Un terreno scivoloso, perché abbassa la soglia di protezione contro la sorveglianza commerciale e tecnica.
Un regalo per Big Tech, non per l’innovazione europea
Uno dei motivi dichiarati dal Digital Omnibus è la necessità di favorire la competitività delle aziende europee. Ma gli effetti potrebbero essere opposti.
Le grandi piattaforme statunitensi — già dominanti nel mercato europeo — dispongono di risorse, infrastrutture e basi dati tali da trarre enormi vantaggi dall’allentamento dei vincoli su utilizzo ed estrazione dei dati. Le PMI europee, invece, rischiano di non beneficiare affatto della riforma, perché il divario tecnologico non dipende principalmente dalla regolazione, bensì da: mancanza di competenze, difficoltà di accesso ai capitali, frammentazione dei mercati nazionali, scarsità di dataset europei.
Semplificare gli obblighi non risolve queste criticità, semmai favorisce i player che hanno già un vantaggio competitivo consolidato.
Il gruppo dei Verdi al Parlamento europeo ha accusato Ursula von der Leyen di cedere “sotto la pressione dell’amministrazione Trump e delle lobby delle Big Tech. Mettendo in discussione i nostri successi digitali, l’UE rischia di stendere il tappeto rosso per un modello di business basato su dati rubati, clamore e nessuna considerazione per i diritti umani o il pianeta“, ha dichiarato l’eurodeputata olandese Kim van Sparrentak. Secondo l’eurodeputata ceca Markéta Gregorová.
“La fuga di informazioni sul Digital Omnibus rivela che la Commissione sta lavorando a un piano di portata molto più ampia di quanto annunciato e questo senza una valutazione d’impatto. Ciò solleva seri dubbi sulla sua capacità di valutare adeguatamente le implicazioni per l’applicazione dei nostri diritti fondamentali. Sono sorpresa e preoccupata che il GDPR venga riaperto e indebolito nella sua sostanza“, ha sottolineato l’eurodeputata
Tornano in mente le parole di Giovanni Zorzoni, oggi vice presidente dell’AIIP, sulla pericolosità del Cloud Act americano per i dati personali dei cittadini, “perché consente di fatto alle autorità statunitensi di ottenere l’accesso ai dati detenuti da aziende americane anche al di fuori dei confini USA, senza adeguate tutele giuridiche“.
Il vento deregolatorio che tira da Washington e passa per Parigi e Berlino
“Gli investimenti nell’intelligenza artificiale stanno contribuendo a rendere l’economia statunitense la più dinamica al mondo, ma l’eccessiva regolamentazione da parte degli Stati minaccia di indebolire questo motore di crescita“, ha scritto Trump su Truth Social. “Dobbiamo avere un unico standard federale invece di un mosaico di 50 regimi normativi statali. Possiamo farlo in un modo che protegga i bambini e impedisca la censura!”, ha sottolineato Trump.
L’obiettivo è chiaro: permettere alle aziende americane di innovare più rapidamente e senza vincoli.
Il Digital Omnibus si inserisce quindi in un clima politico in cui la disciplina europea sul digitale viene sempre più percepita come un freno, non come un vantaggio competitivo.
Semplificare sì, indebolire no: cosa servirebbe davvero all’Europa
Il paradosso è evidente: mentre la Commissione parla di “chiarezza normativa”, molte delle misure in discussione rischiano di generare più incertezza e più rischi per i cittadini, senza contribuire realmente a rafforzare l’ecosistema europeo dell’AI.
L’alternativa esiste ed è già stata proposta da diversi esperti: creare una Digital Enforcement Agency europea, un’autorità indipendente capace di:
applicare in modo uniforme le norme digitali,
fornire interpretazioni tecniche chiare,
coordinare le autorità nazionali,
offrire certezza agli operatori economici.
Non servono meno regole, ma regole più chiare, coerenti e applicate con efficienza.
Una semplificazione che complica
Il Digital Omnibus potrebbe rivelarsi un passaggio storico: non perché semplifichi l’Europa digitale, ma perché rischia di dismettere, pezzo dopo pezzo, i principi fondanti della protezione dei dati e della governance dell’AI in Europa.
Mentre si parla di competitività, si rischia di:
indebolire il GDPR,
rendere opaca la gestione dei dati,
favorire l’espansione incontrollata delle Big Tech,
aumentare i rischi di discriminazione algoritmica,
diminuire la fiducia dei cittadini.
Il trilogo di oggi non è un mero passaggio tecnico: è una scelta politica sull’identità digitale dell’Europa. La domanda è: continuerà a essere un modello globale di protezione dei dati e innovazione responsabile, o diventerà il terreno di gioco delle grandi piattaforme?
Si rischia di di produrre un quadro normativo frammentato e di incertezza per le imprese
L’ENNHRI, la rete europea che riunisce le istituzioni nazionali indipendenti per i diritti umani, avverte che la proposta Omnibus della Commissione — insieme alle posizioni negoziali di Consiglio e Parlamento — si discosta, in diversi punti, dai principali standard internazionali su imprese e diritti umani. Tra questi, i Principi guida ONU su imprese e diritti umani (UNGPs) e le Linee guida OCSE sulla condotta d’impresa responsabile, oltre che dalle buone pratiche che molte aziende europee stanno già adottando in materia di due diligence ambientale e sociale.
Secondo l’organizzazione europea, tali deviazioni rischiano di produrre un quadro normativo frammentato, generando incertezza per le imprese e vanificando l’occasione di colmare le lacune ancora esistenti. Un passo indietro che potrebbe indebolire la capacità dell’Unione europea di prevenire o contrastare in modo efficace violazioni dei diritti umani e danni ambientali lungo le catene globali del valore.
Le proposte legislative sull’omnibus digitale saranno ora presentate al Parlamento europeo e al Consiglio per l’adozione. La Commissione ha inoltre avviato oggi la seconda fase dell’agenda per la semplificazione, con un’ampia consultazione sul controllo dell’adeguatezza digitale aperta fino all’11 marzo 2026.
Il Regolamento Generale sulla Protezione dei Dati (GDPR), sin dalla sua applicazione, si è affermato come lo standard di riferimento globale per la protezione dei dati personali, incarnando l’impegno dell’Unione Europea a tutelare i diritti fondamentali delle persone nell’era digitale.
Tuttavia, questo pilastro normativo è oggi sottoposto a una pressione crescente.
Una spinta politica ed economica verso la “semplificazione”, motivata da esigenze di competitività del mercato unico, sta generando una serie di proposte di modifica che, dietro la facciata della riduzione degli oneri amministrativi, rischiano di erodere le tutele essenziali per i cittadini.
<!-- ARUBA - 300x250 -->
La centralità della persona emerge chiaramente fin dai primi Considerando del Regolamento. Il Considerando (1) stabilisce che la protezione delle persone fisiche riguardo al trattamento dei dati personali è un diritto fondamentale.
I Considerando (6) e (7) evidenziano come la rapida evoluzione tecnologica e la globalizzazione abbiano reso necessario un quadro normativo più solido e coerente per dare alle persone fisiche il controllo sui propri dati e rafforzare la certezza giuridica e operativa per cittadini e operatori economici.
Ma il GDPR è davvero cosi complicato?
Contrariamente alla narrazione che lo dipinge come un ostacolo rigido, il GDPR è stato concepito per essere flessibile e proporzionato. Il suo approccio basato sul rischio e la sua neutralità tecnologica consentono di adattare gli obblighi alla natura, al contesto e alle finalità del trattamento, evitando un approccio “taglia unica”.
Inoltre, il legislatore europeo ha tenuto conto fin dall’inizio delle esigenze specifiche delle micro, piccole e medie imprese (PMI). Il Considerando (13) invita esplicitamente le istituzioni a considerare tali esigenze, e l’Articolo 30, paragrafo 5, prevede una deroga specifica dall’obbligo di tenuta dei registri delle attività di trattamento per le organizzazioni con meno di 250 dipendenti, a meno che il trattamento non presenti rischi elevati. Ciò dimostra che il Regolamento contiene già al suo interno sofisticati meccanismi di proporzionalità e graduazione degli obblighi, rendendo ulteriori semplificazioni generalizzate potenzialmente ridondanti o mal concepite.
Cosa si vuole modificare, quindi ?
Nonostante questa flessibilità intrinseca e questo equilibrio attentamente calibrato, un nuovo contesto politico-economico europeo sta mettendo in discussione questi fondamenti, promuovendo una visione del GDPR come un onere da ridurre per stimolare la competitività.
L’attuale agenda politica europea è fortemente orientata al rafforzamento della competitività del mercato unico. In questo contesto, la “riduzione degli oneri amministrativi” è stata identificata come una leva cruciale per liberare il potenziale di crescita delle imprese, in particolare delle PMI. Inevitabilmente, il GDPR, con i suoi obblighi di accountability e trasparenza, è finito nel mirino di questa spinta alla deregolamentazione.
Questa tendenza si è tradotta in precise direttive politiche e proposte a livello sia europeo che nazionale.
A livello europeo, la Commissione si è impegnata a ridurre gli oneri amministrativi del 25%, un obiettivo che è stato successivamente incrementato al 35% per le piccole e medie imprese (PMI). Questo impegno ha portato all’elaborazione di un pacchetto di proposte legislative volte a modificare trasversalmente diverse normative, incluso il GDPR.
Sebbene la riduzione della burocrazia sia un obiettivo legittimo, queste iniziative creano un ambiente politico in cui le tutele fondamentali della privacy vengono progressivamente reinterpretate come meri “costi di compliance”, suscettibili di essere sacrificati sull’altare della competitività economica, spostando il paradigma da un approccio basato sui diritti a uno di puro calcolo costi-benefici.
Le proposte di modifica al GDPR, pur essendo presentate come semplici “semplificazioni”, toccano in realtà il cuore dei principi di responsabilità (accountability) e trasparenza, che sono i pilastri su cui si fonda la fiducia degli interessati. Queste proposte, pertanto, non sono meri aggiustamenti tecnici, ma tentativi di ri-allineare la ratio legis del Regolamento, subordinando un diritto fondamentale a logiche di pura efficienza economica. È fondamentale decostruire queste proposte per comprenderne l’impatto reale sulla protezione dei diritti dei cittadini, al di là della retorica della competitività.
Una delle proposte più significative, contenuta nel pacchetto di semplificazione della Commissione Europea, riguarda la modifica dell’Articolo 30, paragrafo 5, del GDPR.
La proposta e’ quella di stendere la deroga dall’obbligo di tenuta dei registri delle attività di trattamento, attualmente prevista per le imprese con meno di 250 dipendenti, a quelle con meno di 750 dipendenti.
Questo non è un aggiustamento tecnico, ma una modifica che svuota di contenuto operativo il principio di accountability sancito dall’Art. 5(2), rendendo la conformità un’obbligazione non più dimostrabile in modo oggettivo per un’ampia fascia di imprese. Il registro dei trattamenti è lo strumento primario attraverso cui un’organizzazione mappa, comprende e dimostra la propria conformità. Esentare una fascia così ampia di imprese significa ridurre drasticamente la trasparenza interna ed esterna e limitare la capacità delle Autorità di controllo di effettuare verifiche efficaci.
Una proposta avanzata dalla Germania mira invece a modificare i termini per la notifica di una violazione dei dati personali all’autorità di controllo.
La proposta è quella di modificare l’Articolo 33, paragrafo 1, cambiando il termine di notifica da “72 ore” a “tre (3) giorni lavorativi”.
La modifica, apparentemente minima, ha conseguenze pratiche rilevanti. In caso di violazioni che si verificano a ridosso di un fine settimana o di festività, questo cambiamento concederebbe alle organizzazioni un tempo significativamente maggiore (potenzialmente fino a cinque o più giorni) prima di notificare l’incidente. Questo ritardo va a diretto discapito degli interessati, che hanno bisogno di essere informati tempestivamente per poter adottare misure a propria tutela, come cambiare password o monitorare i propri conti bancari. La trasparenza tempestiva è un cardine della protezione, non un lusso.
Un’altra proposta della Commissione Europea mira ad ampliare la platea delle imprese che beneficiano di un trattamento di favore.
Si tratta, in pratica, di emendare gli Articoli 40 (Codici di condotta) e 42 (Certificazione) per estendere la presa in considerazione delle “esigenze specifiche” dalle PMI anche alle cosiddette “small mid-cap enterprises” (SMC).
Questa estensione crea un precedente pericoloso e offusca il principio di proporzionalità. Mentre la deroga per le micro e piccole imprese è giustificata da una chiara disparità di risorse, l’inclusione di una categoria più ampia e meno definita come le SMC rischia di creare classificazioni arbitrarie. Tale modifica sposta il fulcro della normativa, legando il livello di tutela alle dimensioni aziendali piuttosto che al rischio presentato dalle attività di trattamento dei dati, che costituisce invece la logica fondamentale del GDPR. Si apre così la porta a un’erosione progressiva dell’applicazione uniforme del Regolamento.
Difendiamo il GDPR per difendere i diritti dei cittadini europei
Il Regolamento è già semplificato per le PMI. Probabilmente ancora non lo abbiamo pienamente compreso. O forse l’obiettivo è diverso.
Le proposte di “semplificazione” del GDPR, sebbene ammantate di una legittima retorica sulla competitività, rappresentano in realtà un tentativo di ri-orientare un Regolamento nato per proteggere le persone verso uno strumento a servizio degli interessi economici delle organizzazioni. È il tentativo di sostituire un impianto basato sui diritti con una logica di mero calcolo costi-benefici. Indebolire obblighi fondamentali come la tenuta dei registri, la notifica tempestiva delle violazioni e l’applicazione uniforme delle norme non è una semplificazione, ma uno svuotamento.
Il futuro di una protezione dei dati efficace e moderna non risiede nell’indebolire le sue fondamenta, ma nel rafforzare i meccanismi di applicazione – come l’efficienza del meccanismo One-Stop-Shop –, nel promuovere una legislazione complementare coerente che confermi la primazia dei diritti fondamentali e nel rispettare il ruolo evolutivo della giurisprudenza.
Difendere l’integrità del GDPR oggi significa difendere uno dei pilastri della democrazia digitale europea e riaffermare che, nel mercato unico, la competitività non può e non deve prevalere sui diritti fondamentali dei cittadini.
Nel periodo compreso tra l’8 e il 14 novembre, il CERT-AGID ha analizzato 87 campagne malevole dirette verso utenti e organizzazioni italiane.
Di queste, 53 hanno avuto obiettivi esplicitamente italiani, mentre 34 campagne generiche hanno comunque coinvolto il nostro Paese.
Complessivamente, sono stati condivisi con gli enti accreditati 820 indicatori di compromissione (IoC) relativi alle minacce osservate.
I temi della settimana
Sono stati 21 i temi sfruttati per veicolare phishing e malware, con un marcato aumento delle campagne che imitano servizi online legati ai rinnovi, alle multe, ai pagamenti e ai servizi bancari.
87 campagne malevole rilevate in Italia, con 820 indicatori di compromissione. In aumento i phishing a tema rinnovo servizi, mentre crescono gli attacchi contro atenei e grandi piattaforme online.
Il tema Rinnovo risulta tra i più diffusi con 12 campagne di phishing, sia italiane che internazionali, tutte via email.
Le comunicazioni imitano il rinnovo di servizi legati a Register, Serverplan, OVHCloud, Aruba, Wix, Axarnet, oltre a iCloud, Mooney, McAfee e vari provider di webmail, sfruttando la pressione psicologica delle scadenze amministrative e tecniche.
Altre 12 campagne, tutte italiane, hanno sfruttato il tema Multe, con finte comunicazioni PagoPA che simulano sanzioni stradali non pagate e invitano le vittime a inserire dati personali e bancari attraverso link malevoli.
Il tema Banking, con 11 campagne (8 italiane e 3 generiche), ha combinato phishing e malware mobile: tra gli istituti imitati figurano ING, Interactive Brokers, Credem e Standard Bank, mentre le campagne malware hanno diffuso DonutLoader, insieme ai trojan Android Copybara, Herodotus e GhostGrab.
Il tema Ordine, sfruttato in otto campagne, è stato impiegato esclusivamente per la diffusione di malware come Remcos, AgentTesla, PureLogs, FormBook e PhantomStealer, tutti veicolati tramite allegati manipolati.
Tra gli eventi di particolare interesse della settimana, il CERT-AGID segnala una campagna di phishing ai danni degli utenti Facebook che, attraverso email dai toni legali, indirizza le vittime verso una finta pagina Meta.
Il sito fraudolento replica un popup del browser e un modulo di login identico a quello originale, con l’obiettivo di sottrarre le credenziali di accesso.
Parallelamente è stata individuata una campagna diffusa via SMS e rivolta a utenti INPS, pensata per raccogliere una quantità significativa di dati personali: oltre alle generalità e all’IBAN, gli attaccanti richiedono un selfie e foto della carta di identità, della tessera sanitaria, della patente e delle ultime tre buste paga.
Fonte: CERT-AGID
Un ulteriore caso riguarda una campagna a tema GLS che diffonde il malware Remcos tramite email con allegato XHTML, spingendo la vittima a copiare e incollare comandi dannosi nel terminale per scaricare ed eseguire uno script malevolo.
Infine, il CERT-AGID ha rilevato un nuovo caso di phishing mirato contro l’Università di Parma: una pagina ospitata su Weebly replica l’accesso all’area privata dell’ateneo e viene utilizzata per sottrarre credenziali istituzionali a studenti e personale.
Malware della settimana
Sono state 16 le famiglie di malware osservate tra l’8 e il 14 novembre.
Il più diffuso è Remcos, con 5 campagne italiane a tema “Preventivo”, “Ordine”, “Banking” e “Fattura”, e 4 campagne generiche “Delivery”, “Ordine” e “Pagamenti”. I file allegati utilizzati includono XLS, 7Z, Z, GZ, RAR, ZIP e DOCX, oltre a siti con finti Captcha.
AgentTesla è stato individuato in 3 campagne italiane a tema “Contratti”, “Ordine” e “Pagamenti” e in quattro campagne generiche “Contratti”, “Documenti”, “Pagamenti” e “Ordine”, diffuso tramite allegati TAR, BZ2, 7Z, ZIP e RAR contenenti script VBS e VBE.
PhantomStealer compare in 3 campagne generiche legate ai temi “Ordine”, “Pagamenti” e “Prezzi”, mentre DarkCloud è stato utilizzato in 2 campagne a tema “Prezzi” e “Delivery”.
Meritano attenzione anche i malware mobile: 2 campagne italiane hanno diffuso Copybara, una campagna generica ha distribuito GhostGrab, e un’altra campagna italiana ha impiegato Herodotus, tutti via SMS con link a file APK malevoli.
Fonte: CERT-AGID
Guloader è stato individuato in 2 campagne generiche a tema “Fattura” e “Pagamenti” , mentre Rhadamanthys è stato usato in 2 campagne italiane a tema “Booking” e “Documenti”, distribuite tramite script PS1 e installer MSI.
Un’ulteriore campagna italiana ha diffuso MintLoader tramite PEC contenenti ZIP con file HTML.
Completano il quadro varie campagne italiane che hanno diffuso DonutLoader, FormBook, PureLogs e XWorm, insieme a campagne generiche Danabot e LummaStealer, sfruttando argomenti come “Aggiornamenti” e “Documenti”.
Phishing della settimana
Sono stati 27 i brand coinvolti nelle campagne di phishing rilevate nel corso della settimana presa in esame.
Fonte: CERT-AGID
Particolarmente ricorrenti sono state le operazioni che hanno sfruttato i nomi di PagoPA e iCloud, insieme alle numerose campagne che imitano servizi di webmail non brandizzate, ancora fra i vettori più frequenti per la raccolta fraudolenta di credenziali.
Formati e canali di diffusione
L’analisi conferma la netta predominanza degli archivi compressi come principale mezzo di diffusione dei contenuti malevoli.
Nel periodo considerato sono state individuate 20 tipologie di file, con ZIP al primo posto (9 utilizzi), seguito da RAR (7) e 7Z (5). Seguono VBS e APK (4 utilizzi ciascuno), e Z (3).
I formati PDF, EXE e DOCX compaiono due volte, mentre BZ2, HTML, PS1, HTM, BAT, GZ, MSI, JS, VBE, TAR e XLS sono stati impiegati in un singolo caso.
Fonte: CERT-AGID
La posta elettronica rimane il vettore dominante con 81 campagne. Cinque attacchi sono stati condotti via SMS, mentre una campagna è transitata tramite PEC.
