Riceviamo un’email di sollecito da un sito che non riconosciamo, clicchiamo senza riflettere, e tre giorni dopo un conto bancario è compromesso. Questo scenario, banale nel 2026, illustra quanto la protezione dei dati personali non si giochi più solo nelle impostazioni di privacy di un browser. Il GDPR continua a regolamentare la raccolta e il trattamento delle informazioni da parte delle aziende, ma le minacce per l’utente sono cambiate natura.
Infostealers e phishing avanzato: i veri rischi per i vostri dati nel 2026
I concorrenti dettagliano a lungo il funzionamento del GDPR o le obbligazioni delle aziende. Iniziamo dall’altro lato: ciò che minaccia concretamente un utente quando apre il computer al mattino.
Il rapporto ENISA Threat Landscape 2026, pubblicato il 15 settembre 2026, identifica il phishing come la principale tecnica di ingegneria sociale osservata negli incidenti analizzati nel 2025. I kit di phishing “as-a-service” si sono moltiplicati, permettendo a attaccanti senza competenze tecniche di avviare campagne credibili in poche ore.
L’altra minaccia in crescita sono gli infostealers. Questi malware non si limitano più a rubare una password. Secondo lo stesso rapporto ENISA, estraggono ora le credenziali, i dati di navigazione, i token di autenticazione multifattore (MFA) e i cookie di sessione. Concretamente, anche con una password solida e l’autenticazione a due fattori attivata, un dispositivo infetto può compromettere tutti i vostri account.
Abbiamo pubblicato un dossier complementare su i dati personali su dubraz.com tramite Blognet News che dettaglia le obbligazioni dei siti in materia di raccolta e consenso.
Ciò che cambia nella vita quotidiana: l’aggiornamento del sistema operativo e delle applicazioni non è un consiglio generico, è la prima linea di difesa contro gli infostealers. L’uso di un gestore di password limita anche l’esposizione, perché non si digitano più le proprie credenziali in un modulo potenzialmente compromesso.
Controlli CNIL nel 2026: reclutamento, algoritmi e cosa implica per gli utenti
Si parla spesso della CNIL come di un gendarme lontano che sanziona le grandi piattaforme. Nel 2026, le sue tematiche prioritarie di controllo riguardano settori che interessano direttamente i cittadini nella loro vita quotidiana.
Tra gli assi scelti quest’anno figurano in particolare il reclutamento e il registro elettorale unico. In pratica, ciò significa che la CNIL verifica come i datori di lavoro raccolgono e conservano i dati dei candidati e come i file elettorali sono gestiti a livello algoritmico.
Per un utente che si candida online, la conseguenza è diretta: si può chiedere a un reclutatore quali dati conserva, su quale base legale, e per quanto tempo. Il diritto di accesso e il diritto alla cancellazione previsti dal GDPR si applicano anche ai CV depositati su una piattaforma di reclutamento tre anni fa.
Esercitare il proprio diritto di accesso senza aspettare una fuga
La maggior parte degli utenti scopre i propri diritti dopo un incidente. Si può agire in anticipo. Qualsiasi ente che tratta dati personali deve rispondere a una richiesta di accesso entro un termine stabilito dal GDPR.
Alcune situazioni in cui questa procedura ha un impatto concreto:
- Verificare quali informazioni un ex datore di lavoro o un’agenzia interinale conserva ancora nei propri file, diversi anni dopo la fine di un contratto.
- Richiedere a un sito di e-commerce l’elenco completo dei dati associati al proprio account, compresi la cronologia di navigazione e le preferenze pubblicitarie.
- Esigere la cancellazione dei dati su una piattaforma di annunci dove non si è più attivi da tempo.
Se l’ente non risponde o rifiuta senza un motivo valido, la CNIL può essere contattata direttamente tramite il suo modulo di reclamo online.
Consenso ai cookie e tracciatori: cosa è realmente cambiato
Clicchiamo su “Accetta tutto” per riflesso. Il problema è che questo gesto autorizza spesso decine di tracciatori pubblicitari a raccogliere dati di navigazione, di localizzazione e di profilo d’acquisto.
La politica di privacy di un sito deve dettagliare la finalità di ogni trattamento e la base legale utilizzata (consenso, interesse legittimo, esecuzione di un contratto). In pratica, i feedback variano su questo punto: alcuni siti mostrano banner conformi ma rimandano a politiche di privacy redatte in un linguaggio difficilmente comprensibile.
Rifiutare i cookie non importanti non deve mai essere più complicato che accettare. È un principio che la CNIL ricorda regolarmente. Se un sito impone più clic per rifiutare che per accettare, è potenzialmente in violazione.
Tre riflessi per limitare il tracciamento nella vita quotidiana
- Configurare il browser per eliminare automaticamente i cookie alla chiusura, il che neutralizza la maggior parte dei tracciatori persistenti senza bloccare la navigazione corrente.
- Disconnettere le sessioni aperte sui servizi sensibili (banca, messaggistica, salute) dopo ogni utilizzo, soprattutto su un dispositivo condiviso. È la difesa più diretta contro il furto di cookie di sessione da parte di un infostealer.
- Utilizzare indirizzi email distinti per i servizi critici e le iscrizioni a newsletter o promozioni, per compartimentare i rischi in caso di fuga.
Autenticazione multifattore: protezione utile ma non infallibile
Si raccomanda ovunque di attivare l’autenticazione a due fattori, ed è un buon riflesso. L’autenticazione multifattore blocca la grande maggioranza dei tentativi di accesso non autorizzato tramite password rubate.
Il rapporto ENISA 2026 porta una sfumatura tecnica: gli attacchi definiti Adversary-in-the-Middle sono in grado di dirottare i token di sessione in tempo reale, eludendo così la protezione MFA. Questo tipo di attacco rimane più sofisticato del phishing classico, ma si sta democratizzando tramite gli stessi kit “as-a-service”.
La MFA rimane necessaria, ma non sostituisce la vigilanza sui link ricevuti via email o SMS. Un link di phishing che reindirizza a un proxy malevolo può catturare il token MFA nel momento stesso in cui l’utente si autentica legittimamente.
Il miglior complemento all’autenticazione a due fattori rimane la combinazione di un gestore di password (che rifiuta di compilare un modulo su un dominio sconosciuto) e di un sistema operativo aggiornato (che limita l’installazione di infostealers). Nessuna misura isolata è sufficiente: è l’accumulo di strati di protezione che riduce realmente il rischio di compromissione dei vostri dati personali.
