Egregi Signori,
con la presente la Pegasus S.r.l. (di seguito “Pegasus” o “Società”) desidera informarLa di aver rilevato un accesso non autorizzato ai propri sistemi da parte di soggetti esterni che potrebbe aver riguardato alcuni dati personali a Lei riferiti (di seguito “Incidente”). La Società comunque sta gestendo la questione come si indicherà in seguito.
Ciò posto, la presente comunicazione costituisce una formale comunicazione ex art. 34 del Regolamento (UE) 2016/679 (di seguito “GDPR”)
Descrizione dell’Incidente.
In particolare, tra il 5 ed il 6 marzo 2026, la Pegasus è stata vittima di un attacco informatico di tipo ransomware che ha interessato parte della propria infrastruttura informatica.
A seguito delle successive verifiche tecniche e forensi svolte con il supporto di consulenti specializzati, è emerso che soggetti terzi non autorizzati potrebbero aver avuto accesso e sottratto documentazione presente sui sistemi informatici interessati dall’attacco. Inoltre, la Società è stata informata della possibile pubblicazione di parte delle informazioni sottratte su ambienti del dark web riconducibili al gruppo criminale autore dell’attacco.
Le verifiche effettuate hanno evidenziato che la documentazione potenzialmente coinvolta potrebbe contenere, a seconda della posizione dell’interessato, dati anagrafici e identificativi (quali nome, cognome, data di nascita, codice fiscale e indirizzo di residenza), dati di contatto (telefono ed e-mail), estremi di documenti di identità, dati professionali, dati relativi al rapporto di lavoro, dati fiscali e previdenziali nonché, in alcuni casi, coordinate bancarie (IBAN) e ulteriori informazioni contenute nella documentazione amministrativa e contrattuale conservata dalla Società.
Allo stato delle verifiche svolte, non risultano coinvolte categorie particolari di dati personali ai sensi dell’art. 9 del GDPR né dati relativi a condanne penali e reati ai sensi dell’art. 10 del GDPR.
Rischi per gli interessati.
In ragione della natura delle informazioni coinvolte e della possibile acquisizione delle stesse da parte di soggetti non autorizzati, non può essere escluso il rischio di utilizzo illecito dei dati personali, tentativi di phishing, smishing, vishing, furto di identità, impersonificazione, frodi o altre iniziative fraudolente finalizzate ad ottenere informazioni ulteriori o vantaggi economici indebiti.
Sebbene non risultino evidenze di utilizzi fraudolenti dei Suoi dati direttamente riconducibili all’Incidente, la Società ha ritenuto opportuno informarLa tempestivamente affinché possa adottare le opportune cautele.
Misure per la sicurezza adottate.
L’Incidente è stato prontamente individuato e sono state immediatamente attivate tutte le misure tecniche e organizzative previste e già implementate per contenere l’accaduto e proteggere i dati trattati e ripristinare il regolare funzionamento delle attività, in conformità con il GDPR.
In particolare, inter alia sono stati isolati i sistemi coinvolti nell’attacco, sono state eseguite approfondite verifiche tecniche per accertarne l’estensione e sono state avviate le attività di recupero e messa in sicurezza dei dati e delle infrastrutture interessate. La Società si è inoltre avvalsa del supporto di specialisti informatici per l’analisi dell’evento e ha avviato un piano di rafforzamento delle proprie misure di sicurezza, che comprende il miglioramento dei sistemi di protezione informatica, la revisione delle autorizzazioni di accesso ai dati e il potenziamento delle procedure di backup e disaster recovery, anche mediante l’adozione di nuove soluzioni tecnologiche dedicate.
Si precisa inoltre di aver provveduto alla relativa notificazione preliminare ex art. 33 GDPR al Garante
per la protezione dei dati personali, che è attualmente impegnato nell’acquisizione di tutte le informazioni utili per la conclusione dell’istruttoria avente ad oggetto l’analisi dell’Incidente. La Pegasus sta inoltre continuando a collaborare con i soggetti specializzati coinvolti nella gestione dell’incidente al fine di completare ogni ulteriore verifica necessaria.
Consigli per la sicurezza.
Si consiglia – qualora non sia già stato fatto – di applicare quelle che sono buone prassi di sicurezza, ovvero di seguire le seguenti raccomandazioni per diminuire le probabilità dei rischi derivanti dalla violazione (es. furto d’identità e tentativi di frode):
•
Modificare le proprie credenziali (username e password) di accesso ai servizi online;
•
Prestare la massima attenzione a qualsiasi e-mail inusuale (per es. comunicazioni non richieste che richiedono informazioni personali), ed in particolar modo: valutare attentamente ogni e-mail, SMS, link ed allegati, messaggio o telefonata in cui venissero richiesti codici di accesso od ulteriori dati personali, e l’attendibilità del richiedente;
•
valutare attentamente e-mail, link ed allegati, SMS e altre fonti di messaggistica contenenti collegamenti ipertestuali o allegati sospetti/inusuali che potrebbero essere usati per indirizzare l’utente verso siti web dannosi o fargli scaricare software malevoli;
•
monitorare i movimenti dei conti correnti e degli altri rapporti bancari per individuare eventuali operazioni anomale, segnalando immediatamente alla propria banca eventuali anomalie o operazioni sospette;
•
informare i propri familiari e conoscenti di essere stati vittima di questa violazione, suggerendo loro di porre attenzione al rischio di ricevere false richieste che paiono pervenire da voi.
•
Qualora avesse già interagito con uno dei messaggi sopra descritti, ad esempio inserendo credenziali di accesso, raccomandiamo di procedere immediatamente alla modifica delle password utilizzate e di contattare il proprio referente informatico o il fornitore del servizio interessato.
Vi raccomandiamo, infine, di porre maggiore attenzione a qualunque interazione sospetta (online, ma anche offline) ed invita, in ogni caso e comunque, a prendere visione dei “Vademecum” informativi pubblicati dal Garante per la Protezione dei dati personali ai seguenti link:
–
https://www.garanteprivacy.it/temi/cybersecurity/phishing
–
https://www.garanteprivacy.it/temi/cybersecurity/vishing
–
https://www.garanteprivacy.it/temi/cybersecurity/smishing
–
https://www.garanteprivacy.it/home/ricerca/-/search/key/sim%20swapping
–
Inoltre, rammentiamo che il Garante per la protezione dei dati personali ricorda che eventuali tentativi di frode possono essere di vario tipo, ma l’obiettivo è solitamente quello di utilizzare i dati personali per estorcere denaro e/o esfiltrare ulteriori dati personali attraverso l’invio di messaggi e/o telefonate contenenti false richieste provenienti da parte di servizi (banche, assicurazioni, fornitori di energia/servizi ecc.), oppure amici o familiari oppure tentando di accedere agli account riconducibili alla vittima.
Contatti.
Per qualsiasi domanda o necessità di chiarimento, può contattarci direttamente al seguente indirizzo: info@pegasussrl.com Telefono: 0574 31001.
Il nostro referente privacy Dott. Andrea Ricciarelli è a Sua completa disposizione per assisterLa.
Scusandoci per ogni possibile disagio prodotto dall’evento occorso, vi ringraziamo per la vostra comprensione e collaborazione, rimanendo a disposizione per eventuali chiarimenti.
Cordiali saluti,