We recently found a bug that stored passwords unmasked in an internal log. We fixed the bug and have no indication of a breach or misuse by anyone. As a precaution, consider changing your password on all services where you’ve used this password. https://t.co/RyEDvQOTaZ
— Twitter Support (@TwitterSupport) 3 maggio 2018
Tramite un “tweet” ufficiale, seguito poi da una email specifica, Twitter ha inviato i suoi utenti a modificare la propria password. Il motivo? Semplice, un bug ha fatto sì che nei log salvati nei registri interni del sistema del social network fossero leggibili in “chiaro” le chiavi di sicurezza dei vari iscritti alla piattaforma.
Qualche giorno fa, abbiamo parlato di Data Breach e nuovo Regolamento europeo sul trattamento dei dati personali e questa notizia potrebbe rientrare perfettamente nella casistica per cui sarebbe doveroso, per il Titolare/Responsabile del trattamento, informare l’interessato della probabile perdita o lesione delle proprie informazioni sensibili.
Nel caso di specie, infatti, nonostante gli addetti alla gestione password ed account del social network abbiano seguito la consueta prassi interna, volta a mascherare i dati d’accesso dei vari utenti iscritti, qualcosa sarebbe andato storto e le informazioni sono rimaste in bella mostra per chissà quanto tempo e, soprattutto, potenzialmente visibili a chiunque. Per tale motivo, la decisione di notificare alla propria utenza la potenziale lesione di sicurezza del proprio account, acquista rilevanza e dimostra una certa sensibilità dei piani alti di Twitter a temi come la security informatica, soprattutto in vista del 25 maggio data che, come ormai ben sappiamo, il GDPR 2016/679 spiegherà i propri effetti.
Alla luce di quanto accaduto ed in base alla informazioni fin qui rese disponibili, potremmo dire che il comportamento tenuto dal Social sia stato conforme agli obblighi derivanti dalle norme del nuovo Regolamento; dando rapida conoscenza del bug di sistema e facendo sì che la propria utenza potesse mettere in salvo il proprio account, l’attività tenuta dai vertici di Twitter rientrerebbe in quella prevista dall’art. 34 del GDPR 2016/679 per cui, in caso di violazione, è necessario informare l’interessato di quanto successo.
Ovviamente, se tale scelta è stata saggia sotto il punto di vista della compliance al nuovo Regolamento, non lo è stata dal punto di vista della credibilità di fronte al grande pubblico. L’errore compiuto dagli esperti della sicurezza del social è stato letto dai più come una insufficiente gestione delle politiche di protezione delle credenziali dell’utente e questo ha comportato gravi perdite in Borsa: infatti, la notizia ha colpito la stabilità del social network sui mercati finanziari dove il titolo ha perso l’1% del proprio valore.
