イタリアのデータ保護当局Garante per la Protezione dei Dati Personaliは、「深刻なデータセキュリティの不備」によりハッカーによる2度のシステム侵入と、36万5,000人を超える顧客の個人データ流出を許してしまったとして、WINDTREに170万ユーロの制裁金を科しました。
同当局は、イタリアの大手通信事業者の一つであるWINDTREが2026年2月に2件の別々のデータ漏洩を報告したことを受けて、調査を開始しました。
攻撃者はソフトウェアの脆弱性を突くのではなく、昔ながらのソーシャルエンジニアリングを利用しました。サポート技術者になりすまし、WINDTREの2店舗のスタッフを説得して社内システムへのアクセス権を得ることに成功したのです。このアクセス権を使って、攻撃者は同社のシステムから顧客の氏名と連絡先情報を抜き取りました。
数千人分の決済データも流出
影響を受けた顧客のうち41,359人については、盗まれたデータが氏名や連絡先情報にとどまりませんでした。郵便振替の支払い伝票、IBAN番号、一部マスキングされたクレジットカード番号、カードの有効期限といった決済関連情報も含まれていたのです。
同当局は調査の結果、同社によるログイン認証情報やデジタル証明書の管理に不備があったことを突き止めました。調査ではまた、WINDTRE自身が実施したセキュリティ監査が、より徹底した点検であれば発見できたはずの脆弱性を見逃していたことも判明しています。当局によると、こうした脆弱性がハッカーによる同社システムへの侵入と個人データの窃取を許す結果につながったとされています。
当局が見過ごせなかった技術的欠陥
WindTreは、三要素認証、CAPTCHA、ファイアウォール、夜間アクセス遮断、店舗照会の週次モニタリングなど、すでに強固なセキュリティ対策を講じていたと主張しました。同社は、今回の事案はヒューマンエラーによるものであり、システムの脆弱性とは無関係だと説明しています。また、独立運営の店舗や社員以外のスタッフに対してパスワードマネージャーの使用を強制することはできないとも述べました。
しかし当局はこの主張を退け、2つの技術的な欠陥を指摘しました。
1つ目は証明書の取り扱いです。WindTreのデジタル証明書と秘密鍵は暗号化されたボールトや専用の鍵管理システムに保管されておらず、デバイスが侵害された場合に露出する状態にあったのです。
2つ目はAPIの保護です。約200万件のリクエストという大規模な列挙攻撃を可能にしてしまった二次的な内部APIは、同社自身の脆弱性テストの対象外でした。テスト対象となっていたのは主要なAPIのみだったのです。当局は、OWASP API Security Top 10フレームワークで標準とされるレート制限やCAPTCHAをこれらのエンドポイントに導入していれば、攻撃を検知できた可能性が高いと指摘しています。
当局は、WINDTREがデータの完全性、機密性、セキュリティに関するGDPR規定に違反したと判断しました。今回の決定に伴い、当局は同社に以下を命じています。
- ログイン認証情報とデジタル証明書の保護強化
- 安全なパスワード管理ツールの導入
- 同様の事案を防ぐためのサイバーセキュリティ手順の改善
制裁金の額を決定するにあたり、当局は4つの要素を考慮しました。WINDTREが漏洩をどれだけ迅速に報告したか、攻撃後に問題を是正するために講じた対策、調査への協力姿勢、そしてWINDTREにこれまでプライバシー侵害の前歴がなかったという事実です。
翻訳元: https://www.helpnetsecurity.com/2026/07/20/italy-windtre-1-7-million-fine/
