Tempo di lettura: 3 minuti 

Che cosa è successo

Trenitalia ha rilevato un incidente di sicurezza informatica causato da soggetti esterni non identificati, che ha determinato un accesso non autorizzato ad alcuni dati personali dei clienti associati ai titoli di viaggio.

L'incidente è stato rilevato nell'ottobre 2025, ma è stato reso noto ai clienti potenzialmente coinvolti nel giugno 2026, mediante la comunicazione prevista dall'art. 34 del Regolamento UE 2016/679 (GDPR).

Trenitalia ha spiegato che il tempo trascorso è stato necessario per effettuare approfondite analisi tecniche e ricostruire gli accessi impropri, così da individuare con precisione i clienti potenzialmente interessati. La società ha inoltre dichiarato di avere notificato l'accaduto al Garante per la protezione dei dati personali e al CSIRT Italia e di avere presentato denuncia alla Procura di Roma.

Al momento non sono disponibili informazioni pubbliche dettagliate sulle tecniche utilizzate dagli attaccanti né sulle vulnerabilità eventualmente sfruttate.

Quali sono state le conseguenze

Le informazioni che, secondo Trenitalia, potrebbero essere state oggetto di accesso non autorizzato comprendono dati anagrafici e identificativi, recapiti e-mail e telefonici e informazioni relative ai viaggi effettuati, quali tratta, data, orario e numero del titolo di viaggio. In funzione dei dati presenti nei sistemi, potrebbero inoltre essere interessati il codice della carta fedeltà, il datore di lavoro, alcuni dati relativi alle offerte acquistate e gli estremi dei documenti d'identità.

Trenitalia ha invece dichiarato che non sono stati coinvolti i dati di accesso agli account, le credenziali personali e le informazioni relative ai pagamenti, quali numero, scadenza e codice di sicurezza delle carte.

Il rischio più immediato per i passeggeri interessati consiste nella possibilità di essere coinvolti in campagne di phishing tramite posta elettronica o di smishing tramite SMS. La disponibilità di informazioni reali sui viaggi può infatti consentire agli attaccanti di creare comunicazioni fraudolente particolarmente credibili, ad esempio facendo riferimento a una tratta realmente effettuata, a un falso rimborso o a un presunto problema con un biglietto.

I principali insegnamenti

Il trasporto ferroviario costituisce un settore particolarmente critico e i suoi sistemi informativi sono necessariamente complessi e fortemente interconnessi. Il caso Trenitalia ricorda però che anche organizzazioni dotate di strutture tecnologiche e di sicurezza molto articolate possono subire incidenti.

Pur non conoscendo le modalità dell'attacco né le vulnerabilità eventualmente sfruttate, dal caso possono essere ricavati alcuni insegnamenti validi anche per organizzazioni molto più piccole:

1. La complessità aumenta la superficie di attacco. Più un sistema informativo è articolato, distribuito e interconnesso con sistemi e soggetti esterni, maggiore diventa la difficoltà di eliminare tutte le possibili vulnerabilità, siano esse tecniche, organizzative o procedurali.
2. Non basta cercare di impedire gli attacchi: occorre essere preparati a gestirli. Incident Management, Incident Response e Disaster Recovery devono prevedere ruoli, responsabilità, procedure e capacità di intervento già definite e periodicamente verificate. Il caso Trenitalia evidenzia quanto possa essere complesso ricostruire a posteriori l'estensione di una violazione e individuare tutti i soggetti coinvolti.
3. Segmentazione e separazione dei sistemi e dei dati sono fondamentali per limitare l'impatto di un attacco. Nel caso Trenitalia non risultano coinvolti credenziali e dati di pagamento. Non è noto pubblicamente se ciò sia dipeso dalla segmentazione dei sistemi, ma il principio rimane essenziale: una compromissione di una parte dell'infrastruttura non dovrebbe consentire automaticamente l'accesso a tutte le altre.
4. Anche dati apparentemente non critici possono diventare molto pericolosi se combinati tra loro. Conoscere nome, recapito e un viaggio realmente effettuato permette di costruire messaggi di phishing estremamente credibili. Un falso rimborso relativo a un viaggio reale, ad esempio, potrebbe essere utilizzato per indurre il destinatario a comunicare un IBAN, i dati di una carta o le proprie credenziali.