Regno Unito: le informazioni top secret del ministero della difesa britannico finiscono nelle mani di alleati russi per un errore di digitazione
Un errore di digitazione sulla tastiera del pc durante l’invio di un’email può provocare serie violazioni della privacy e in certi casi anche gravi incidenti di sicurezza nazionale. Lo dimostra quanto accaduto ad un funzionario del Ministero della Difesa britannico, che ha sbagliato indirizzo di posta elettronica inviando accidentalmente informazioni sensibili a un alleato russo, il Mali.
Nei giorni scorsi, un portavoce del ministero britannico ha infatti confermato che, sebbene il numero di email inviate per errore al dominio di posta elettronica sbagliato fosse esiguo, d’altra parte contenevano informazioni riservate e dati classificati, provocando quindi una potenziale minaccia per gli interessi sia britannici che russi.
L’incidente informatico è stato segnalato per la prima volta da The Times, rivelando che l'errore si è verificato a causa di una piccola ma fatale omissione della lettera "i" durante la digitazione dell’indirizzo di dominio ".mil", con conseguente invio a ".ml", che è appunto il dominio nazionale del Mali.
Un funzionario del ministero britannico aveva dichiarato: "Siamo fiduciosi che non contengano alcuna informazione che possa compromettere la sicurezza operativa o i dati tecnici".
Nonostante però le rassicurazioni del ministero che le email non contenessero informazioni critiche, in realtà esse erano destinate al Pentagono, e quindi includevano dati riservati e informazioni “top secret”.
Ora che la gravità del fatto è stata appurata, il portavoce ha sottolineato che il Ministero della Difesa britannico rivedrà i suoi attuali protocolli per la gestione delle informazioni riservate per prevenire tali errori in futuro.
Questo incidente ricorda un altro evento simile negli Stati Uniti, dove informazioni sensibili dell'esercito americano erano trapelate tramite email inviate per errore sempre ad un indirizzo con dominio del Mali (".ml") invece del previsto ".mil" (militare).
Il Mali è una delle nazioni africane che riceve un sostegno significativo dalla Russia. Infatti, in un vertice Russia-Africa a San Pietroburgo, il presidente russo Vladimir Putin si è impegnato a fornire a diversi paesi, tra cui il Mali, migliaia di tonnellate di grano nonostante le sanzioni occidentali.
Se è pur vero che nel caso di specie l’errore umano ha messo a rischio la sicurezza nazionale, il maldestro episodio in cui è incappato il ministero britannico ricorda anche a utenti privati ed aziende le conseguenze che possa comportare un errore di distrazione o di superficialità quando si digita l’indirizzo del destinatario di un’email, rischiando di far finire la corrispondenza nelle mani sbagliate.
Spesso di tratta di dipendenti non intenzionalmente maliziosi che agiscono per ignoranza o anche per dolo, credendo di poter aggirare le politiche di sicurezza aziendali, come addetti che ignorano le procedure e le soluzioni di sicurezza interne per la trasmissione di informazioni confidenziali (server dedicati, aree cloud aziendali, etc) ed inviano le informazioni tramite la posta aziendale non crittografata o peggio ancora tramite la propria posta elettronica privata, anziché quella fornita dal datore di lavoro. Tali azioni sempre più spesso rappresentano una minaccia per i datori di lavoro, infatti un rapporto di Gartner indica che circa il 90% degli incidenti interni è causato da personale incompetente.
Gli incidenti derivanti dall’invio di corrispondenza a destinatari errati determinano sempre una violazione di confidenzialità (perchè i dati personali ivi contenuti sono accessibili da parte di terzi non autorizzati), e quindi rientrano nelle previsioni dell’art. 33 del GDPR riguardante le notifiche dei data breach, per le quali il titolare del trattamento senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, deve notificare la violazione al Garante per la protezione dei dati personali a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche.
