Meta: sanzione di 251 milioni per data breach di Facebook

La Data Protection Commission (DPC) dell’Irlanda ha inflitto una sanzione di 251 milioni di euro a Meta per il data breach causato nel 2018 dal bug presente in una funzionalità di Facebook. La somma complessiva riguarda quattro violazioni del GDPR (Regolamento generale sulla protezione dei dati). L’azienda di Menlo Park ha comunicato che presenterà appello.

Oltre 2,8 miliardi di multe in tre anni

Oltre sette anni fa, Meta (all’epoca si chiamava ancora Facebook) ha introdotto una funzionalità di upload video che offriva l’opzione “Visualizza come” per vedere come la propria pagina appariva ad un altro utente. A causa di un bug era possibile usare l’uploader insieme alla funzionalità “Happy Birthday Composer” per generare un token che consentiva l’accesso al profilo dell’altro utente.

Tra il 14 e il 28 settembre, alcuni cybercriminali hanno usato un script per sfruttare la vulnerabilità e accedere a circa 29 milioni di account nel mondo (circa 3 milioni in Europa). Meta ha rilevato il bug attraverso un uso eccessivo dell’uploader e rimosso la funzionalità.

La vulnerabilità ha permesso di raccogliere diversi dati degli utenti, tra cui nome, data di nascita, numero di telefono, posizione geografica, luogo di lavoro, sesso, religione e post. Per questa grave violazione della privacy, la DPC ha inflitto una sanzione di 251 milioni di euro.

In dettaglio, la somma di 11 milioni riguarda l’invio di informazioni incomplete sul data breach e la mancata comunicazione dei rimedi. Gli altri 240 milioni euro devono essere pagati per non aver rispettato il principio “data protection by design” e non aver adottato misure per garantire solo il trattamento dei dati necessari ad uno specifico scopo.

Meta è la Big Tech che ha ricevuto più multe in Europa per la violazione del GDPR. Considerando le sei nella top 10 e quella di fine settembre, il totale supera 2,8 miliardi di euro.

L’azienda di Menlo Park ha comunicato che presenterà appello e che molte misure sono state già adottate per garantire la privacy:

Questa decisione è relativa ad un incidente del 2018. Abbiamo preso misure immediate per risolvere il problema non appena è stato identificato e abbiamo informato in modo proattivo le persone interessate e la DPC. Abbiamo adottato un’ampia gamma di misure leader del settore per proteggere le persone sulle nostre piattaforme.