Attacco hacker a myCicero, colpiti UnicoCampania e Air Campania: cosa deve fare chi ha comprato biglietti e abbonamenti

Immagine di repertorio

L'attacco hacker subito da myCicero lo scorso marzo, l'app per comprare biglietti dei mezzi pubblici e pagare la sosta sulle strisce, colpisce anche i viaggiatori della Campania. Nel mirino ci finiscono gli utenti del consorzio Unico Campania, che gestisce i titoli di viaggio integrati, e di Air Campania, la società dei bus di proprietà della Regione. Le due società, infatti, in questi giorni stanno inviando centinaia di email ai propri clienti per spiegare cosa è successo e fornire supporto e indicazioni per proteggere i propri dati personali. Nello specifico, la comunicazione riguarda il data breach che ha coinvolto i sistemi informatici gestiti da myCicero, tra i quali anche l'App Unico Campania e l'app MooneyGo.

"L’intera infrastruttura informatica di myCicero – fornitore del Consorzio e gestore dell’App UnicoCampania – è stata oggetto, tra il 29 ed il 30 marzo 2025, di un sofisticato attacco informatico perpetrato da attori esterni non identificati. L’attacco – spiega la nota – ha comportato un accesso illecito con conseguente esfiltrazione dei Suoi dati personali, da Lei conferiti per la registrazione all’App UnicoCampania e per l’acquisto di titoli di viaggio integrati e aziendali. In tale circostanza, myCicero ha immediatamente sporto formale denuncia e attivato tutte le procedure di sicurezza, collaborando con le Autorità competenti, inclusa l’Agenzia per la Cybersicurezza Nazionale (ACN) e il Garante per la Protezione dei dati personali. Ha inoltre attuato un articolato piano di remediation (volto a rafforzare le misure di sicurezza esistenti, prevenire il ripetersi di eventi analoghi e migliorare l’efficacia complessiva del sistema di gestione dei dati) comprendente interventi di natura infrastrutturale, applicativa e organizzativa".

Quali dati sono stati rubati dagli hacker

Ma quali dati sono stati rubati dagli hacker? Le due società campane hanno spiegato agli utenti quali potrebbero essere le informazioni private sottratte:

Nel caso dell'App Unico Campania, si tratta di dati personali

• Dati comuni, fra cui: (i) dati anagrafici, (ii) dati di contatto, (iii) credenziali di autenticazione (username e password).
• Informazioni relative al titolo di mobilità acquistato, come tipologia titolo di viaggio, data inizio e fine validità, zona tariffaria, importo pagato
• Non sono stati invece coinvolti i dati relativi a carte di credito o altri strumenti di pagamento in quanto tali informazioni non sono ospitati sui sistemi di myCicero.
• Le password, invece, sebbene memorizzate in forma cifrata, risultano coinvolte nell’incidente. Ciò implica che gli autori dell’attacco potrebbero tentare di decifrarle. La probabilità che ciò accada dipende da vari fattori, tra cui la complessità della password scelta e le risorse tecniche a disposizione degli attaccanti.

Nel caso di Air Campania, "le analisi forensi successive hanno confermato che la violazione ha interessato le seguenti categorie di dati personali":

• Dati del Profilo Utente: nome, cognome, indirizzo e-mail, numero di telefono e, ove forniti dall’utente, codice fiscale e/o partita IVA.
• Credenziali di Autenticazione: username (coincidente con l’indirizzo e-mail e/o il numero di telefono) e la password dell’utente, quest’ultima conservata sotto forma di digest crittografico.
• Dati relativi ai Servizi di Mobilità: la violazione ha interessato, a seconda del servizio fruito, dati concernenti le soste a pagamento (incluse targhe e dati di localizzazione temporanei), i titoli di viaggio TPL e GT, gli abbonamenti, e ogni altro servizio fruito dall’utente tramite la piattaforma.”

Cosa si rischia con la diffusione di questi dati

Quali sono i possibili rischi con la diffusione di questi dati? Tra i vari pericoli sottolineati da Unico Campania, "la ricezione di e-mail o messaggi indesiderati", cioè lo spam, nonché "eventuali tentativi di frode informatica", ossia phishing, smishing e simili. "Inoltre, qualora la password (o una variante simile) sia stata impiegata per altri servizi online, sussiste la possibilità che soggetti non autorizzati tentino di accedere a tali servizi e alle relative informazioni personali.

I consigli agli utenti su cosa fare

Dopo l'attacco hacker, MyCicero ha rafforzato la sicurezza contro la pirateria informatica, per proteggere al meglio la privacy dei clienti e i loro dati personali. Sono state revisionate e potenziate le misure tecniche, compreso il miglioramento di algoritmi di crittografia e l’implementazione di sistemi di monitoraggio avanzati per prevenire accessi non autorizzati in futuro. Il Consorzio Unico Campania, spiega, "ha adottato tutte le misure necessarie per tutelare i propri clienti, effettuando: "un approfondimento delle indagini, con richiesta a myCicero di reportistica aggiornata e dettagliata su tutte le misure di sicurezza implementate in risposta all’attacco; la tempestiva comunicazione dell’evento alle autorità competenti, ha provveduto a cancellare definitivamente dai propri sistemi la precedente password di accesso all’App UnicoCampania". Tutte le password coinvolte e non aggiornate alla data del 30 settembre 2025, sono state disabilitate. Chi non l'ha ancora fatto, dovrà quindi aggiornare la propria password.

Tra i consigli suggeriti, scegliere sempre password robuste, lunghe e articolate, composte da numeri, simboli, lettere maiuscole e minuscole. Evitare di utilizzare termini comuni o facilmente intuibili e di includere i riferimenti personali che rendano facilmente identificabili, come nome e cognome associati alla data di nascita. E di modificare con regolarità le password in uso. Attivare l’autenticazione a più fattori per l’account di posta elettronica collegato all'utenza.

Unico Campania ha messo in guardia gli utenti dal verificare sempre bene l’identità del mittente di e-mail o SMS e a non comunicare in nessun caso i dati personali in risposta a messaggi inattesi. Per limitare i rischi connessi a eventuali informazioni su viaggi o spostamenti, fare attenzione a tentativi di phishing e di social engineering, diffidando di link o allegati inattesi, URL abbreviati e di richieste “urgenti” di verifica o pagamento. Un malintenzionato, infatti, potrebbe, ad esempio, contattare l'utente citando tratte, orari o importi reali per apparire credibile e indurlo a condividere informazioni. L'invito è alla massima prudenza e a non fornire mai password, codici o dati di pagamento tramite e-mail o SMS e verificare l’autenticità di qualsiasi richiesta esclusivamente tramite canali ufficiali reperiti autonomamente (sito web o numero dell’operatore). Unico Campania, inoltre, non effettua contatti telefonici per richiedere o far confermare questo tipo di informazioni.