Comunicazione relativa a una violazione di dati personali ai sensi dell'art. 34 del Regolamento (UE) 2016/679

 Gentile interessata/o,

il Comune di Muggiò informa che, a seguito di un accesso abusivo verificatosi fra le ore 12.14 e le ore 12.46 del 28/09/2026 ad una casella di posta elettronica istituzionale dell’Ente, è stato accertato l'invio di e-mail fraudolente verso destinatari esterni.

Le suddette mail, inviate dall’indirizzo finotti@comune.muggio.mb.it alle ore 12.28 ad oggetto “Avviso di pagamento”, riportavano un presunto avviso di pagamento relativo a una fattura, con l’indicazione di un importo e di un riferimento bancario ed invitavano il destinatario a consultare una presunta ricevuta di pagamento mediante collegamento ipertestuale.

I messaggi riportavano il logo del Comune di Muggiò e le generalità del Funzionario Responsabile del Servizio Tributi, utilizzati indebitamente per conferire credibilità alla comunicazione.

Il Comune precisa che tali e-mail non sono state inviate nell’ambito di una legittima comunicazione istituzionale e devono pertanto essere considerate fraudolente.

Dagli accertamenti effettuati è emerso che il soggetto non autorizzato ha acquisito una sessione di accesso alla casella di posta sopra citata. L'attaccante ha inoltre configurato una regola di posta elettronica finalizzata a deviare i messaggi di risposta verso una cartella diversa da quella di arrivo dell'account violato.

La presente comunicazione è indirizzata:

·         ai soggetti che hanno ricevuto uno dei predetti messaggi fraudolenti;

·         alle persone i cui dati personali potrebbero essere presenti nei messaggi, negli allegati o negli altri contenuti della casella di posta violata durante il periodo interessato dall'accesso abusivo.

In particolare, i soggetti potenzialmente interessati comprendono i cittadini, le imprese e i professionisti che hanno intrattenuto scambi di messaggi con la Responsabile del Servizio Tributi, nonché i professionisti, i centri di assistenza, i familiari e gli altri soggetti che hanno trasmesso documentazione alla medesima per lo svolgimento delle attività istituzionali connesse al Servizio.

L’ambito temporale potenzialmente interessato è quello compreso tra il 28 novembre 2020 e il 28 settembre 2026, corrispondente al periodo di operatività della casella di posta elettronica coinvolta.

Quali dati personali possono essere coinvolti

Per i destinatari dei messaggi fraudolenti, risultano coinvolti almeno gli indirizzi di posta elettronica utilizzati per l'invio dei messaggi.

Dagli accertamenti tecnici è emerso che, per quanto concerne le persone i cui dati erano presenti nella casella di posta violata, l’attaccante ha avuto accesso alle cartelle della casella e, ancorché non è stato possibile accertare quali messaggi abbia consultato, l’Ente, in via prudenziale, ha ritenuto di considerare esposto l’intero contenuto.

Dalla verifica della documentazione allegata ai messaggi presenti nella casella di posta elettronica violata risultano presenti copie di documenti di identità, coordinate bancarie (IBAN), riferimenti catastali, dichiarazioni, istanze di rimborso e di rateizzazione, ricevute di pagamento.

Per l'account violato sono inoltre coinvolti i dati di accesso e di identificazione dell'assegnatario della casella.

Quali possono essere le conseguenze

In relazione alla natura dell'incidente, le possibili conseguenze derivanti dalla violazione della casella di posta elettronica comprendono:

• utilizzo degli indirizzi di posta elettronica contenuti nella suddetta casella per ulteriori tentativi di phishing o comunicazioni fraudolente;
• sottrazione delle credenziali eventualmente inserite nella pagina raggiunta attraverso il collegamento contenuto nel messaggio fraudolento;
• possibili tentativi di frode, anche economica;
• possibile utilizzo improprio di dati identificativi o di altre informazioni personali eventualmente presenti nella casella;
• possibile utilizzo delle informazioni acquisite per rendere più credibili successivi tentativi di frode o phishing.

Cosa ha fatto il Comune

Non appena venuto a conoscenza dell'incidente, il Comune ha subito avviato gli interventi di contenimento e gli accertamenti tecnici.

Tra le attività già effettuate rientrano il blocco dell'account, la revoca delle sessioni attive, la disattivazione della regola illecitamente creata nella casella e l'analisi della postazione di lavoro interessata.

L’incidente di sicurezza è stato oggetto di notifica al Garante per la Protezione dei dati personali, di segnalazione volontaria all’Agenzia per la Cybersicurezza Nazionale (CSIRT Italia) e di querela presso le competenti Forze dell’Ordine.

Il Comune ha avviato una verifica delle impostazioni di sicurezza e gestione della posta elettronica aziendale, con interventi programmati e già avviati.

Il Comune ha attivi percorsi formativi periodici in materia di cybersecurity; si prevedono ulteriori percorsi di formazione e sensibilizzazione del personale sui temi della sicurezza informatica, con particolare riferimento alla prevenzione degli attacchi di phishing, alla gestione sicura delle credenziali, al riconoscimento delle email sospette e alle buone pratiche per la protezione dei dati e dei sistemi informativi dell'Ente.

Cosa Le raccomandiamo di fare

Se ha ricevuto il messaggio fraudolento e non ha aperto il collegamento né inserito informazioni, Le raccomandiamo, in caso non l’abbia già fatto, di eliminarlo e di non interagire ulteriormente con il relativo contenuto.

Se oltre ad aver ricevuto il messaggio ha anche aperto il collegamento ed inserito credenziali, Le raccomandiamo di modificarle immediatamente, a partire da quelle dell'account di posta elettronica interessato, e di modificare anche eventuali password uguali o analoghe utilizzate per altri servizi.

Se ha fornito dati bancari o effettuato pagamenti a seguito del messaggio, La invitiamo a contattare tempestivamente il proprio istituto bancario e le competenti forze di polizia.

Indipendentemente dalla ricezione del messaggio fraudolento, qualora Lei abbia intrattenuto rapporti o scambi di comunicazioni con il servizio comunale interessato (Servizio Tributi), La invitiamo a prestare particolare attenzione a eventuali comunicazioni anomale che facciano riferimento a precedenti rapporti con il Comune e a non comunicare credenziali, dati bancari o altre informazioni personali in risposta a richieste sospette.

Se ha inviato copia di un documento d’identità, Le raccomandiamo di prestare attenzione ad usi indebiti (richieste di finanziamento, contratti od utenze a proprio nome) e di rivolgersi alle forze di polizia se ne ha il sospetto.

 Se ha comunicato le proprie coordinate bancarie, Le raccomandiamo di controllare i movimenti del conto e di segnalare alla banca gli addebiti che non riconosce.

Cogliamo l’occasione per evidenziare in generale che le comunicazioni ufficiali inviate per il pagamento dei tributi comunali non contengono link a collegamenti ipertestuali.

In caso di dubbio sull’autenticità di una comunicazione, La invitiamo a verificarne la provenienza contattando il Comune di Muggiò, Servizio Tributi attraverso i recapiti reperibili sul sito istituzionale, senza utilizzare numeri telefonici, indirizzi o collegamenti contenuti nel messaggio sospetto.

Per le questioni relative alla protezione dei dati personali è possibile rivolgersi al Responsabile della protezione dei dati (RPD/DPO) del Comune:

Avv. Massimo Ramello
E-mail: comune.muggio@gdpr.nelcomune.it

PEC: dpo@pec.gdpr.nelcomune.it
Tel.: 0131 1826681  Cell.: 328 088 3104

Per ulteriori informazioni è possibile contattare il Comune di Muggiò all’indirizzo privacy@comune.muggio.mb.it

Ci scusiamo per gli eventuali disagi e ringraziamo per la collaborazione.

Muggiò, 20.10.2026

Il Delegato dal Titolare del trattamento dei dati

Responsabile dell’Area Economico Finanziaria

Dott. Nicolantonio De Simone