Trenitalia ha confermato un incidente di sicurezza informatica che ha esposto alcuni dati personali collegati ai biglietti. Non risultano coinvolti password, credenziali di accesso agli account o dati di pagamento. La parte delicata è un’altra: i dati di viaggio possono bastare per costruire truffe credibili.
La società ha avvisato – solo ora, dopo che l’attacco è avvenuto a novembre 2025, una parte dei passeggeri con una comunicazione prevista dall’articolo 34 del Regolamento europeo sulla protezione dei dati personali. È la norma che impone l’informazione diretta agli interessati quando una violazione può presentare un rischio elevato per i diritti e le libertà delle persone.
Secondo quanto comunicato dall’azienda, soggetti esterni non identificati hanno avuto accesso non autorizzato ad alcuni dati associati ai titoli di viaggio. Trenitalia non ha indicato il numero dei passeggeri coinvolti. Non ha reso pubblica la dinamica tecnica dell’intrusione.
Le informazioni potenzialmente interessate possono includere dati anagrafici, indirizzi mail, numeri di telefono, dettagli del viaggio, codice della carta fedeltà, eventuale società o ente datore di lavoro, tipologia di offerta acquistata ed estremi del documento d’identità, quando presenti nei sistemi.
Non è il furto di una carta di credito. Non è l’accesso diretto a un conto. È un altro tipo di esposizione, meno immediata e più insidiosa: quella che permette a chi attacca di sapere abbastanza da sembrare credibile.
Un messaggio che cita una tratta reale, una data corretta o un servizio acquistato può abbassare la soglia di attenzione. Il falso rimborso diventa più plausibile. La richiesta di confermare un documento sembra meno strana. L’avviso su una modifica di prenotazione può sembrare normale. Lo stesso vale per telefonate, SMS o mail che parlano di ritardi, pagamenti, aggiornamenti dell’app, verifiche dell’identità.
È qui che il dato di viaggio cambia peso. Non dice solo dove una persona è andata o dove andrà. Può suggerire abitudini, orari, spostamenti di lavoro, relazioni professionali, frequenza d’uso del servizio. Sono frammenti. Messi in fila, raccontano molto più di quanto sembri.
Trenitalia afferma di aver interrotto l’anomalia, messo in sicurezza i sistemi e rafforzato i controlli. La società ha notificato l’accaduto al Garante per la protezione dei dati personali e al CSIRT Italia, il team nazionale di risposta agli incidenti informatici. Ha presentato anche denuncia alla Procura della Repubblica presso il Tribunale di Roma.
La comunicazione ai passeggeri è arrivata dopo verifiche tecniche che, secondo l’azienda, hanno richiesto tempo. È stato necessario ricostruire gli accessi impropri e individuare con maggiore precisione gli utenti potenzialmente interessati. Nei sistemi complessi della mobilità questo passaggio non è mai banale. La biglietteria digitale non è un modulo isolato. È parte di una rete fatta di account, app, database, sistemi di vendita, controlli a bordo, assistenza clienti, fornitori e piattaforme esterne.
Il trasporto è diventato un bersaglio naturale per chi attacca. Non solo perché muove milioni di passeggeri. Perché tiene insieme infrastrutture fisiche e sistemi digitali. Stazioni, treni, biglietterie, canali online, carte fedeltà, servizi di assistenza e procedure operative convivono nello stesso ecosistema. Se viene colpita la parte commerciale, il danno può riguardare i dati. Se viene colpita la continuità operativa, l’effetto arriva allo sportello, alle macchine self service, ai processi interni.
Il precedente più evidente resta quello del marzo 2022. Ferrovie dello Stato e Trenitalia furono colpite da un attacco ransomware che mandò fuori uso biglietterie fisiche e self service. La circolazione dei treni non si fermò, ma la vendita in stazione venne bloccata per motivi di sicurezza. Quello era un problema di operatività. Il caso attuale riguarda i dati. Sono due piani diversi, ma appartengono alla stessa superficie d’attacco.
C’è poi la filiera. Nel novembre 2025 Almaviva, importante fornitore italiano di servizi informatici, confermò un attacco ai propri sistemi corporate con sottrazione di alcuni dati. Secondo ricostruzioni di settore, un attore criminale aveva rivendicato la pubblicazione di circa 2,3 terabyte di materiale riconducibile anche al Gruppo Ferrovie dello Stato. Almaviva dichiarò allora che i servizi critici erano rimasti operativi e che erano state informate le autorità competenti.
La vulnerabilità dei trasporti non passa solo dall’azienda visibile al passeggero. Passa anche dai fornitori, dalle integrazioni, dai sistemi collegati, dagli ambienti condivisi. Ogni servizio digitale aggiunge comodità. Ogni collegamento aggiunge anche un punto da proteggere.
Per i passeggeri coinvolti, la prudenza deve essere pratica. Non basta riconoscere le mail scritte male. Le truffe più efficaci possono usare dati veri e un linguaggio pulito. Un messaggio non diventa autentico solo perché cita una tratta corretta. Un rimborso inatteso non va richiesto da un link ricevuto via SMS. Una richiesta di documento o dati bancari non va assecondata perché sembra collegata a un biglietto reale.
Meglio entrare solo dai canali ufficiali: sito digitato direttamente, app già installata, area personale verificata. Link e allegati inattesi vanno evitati. Password, codici, documenti e dati bancari non vanno comunicati a interlocutori non verificati.
L’attacco a Trenitalia non risulta aver fermato i treni. Ha colpito però un punto sensibile della mobilità moderna: la fiducia nei sistemi che accompagnano ogni viaggio. Biglietto, telefono, mail, documento, carta fedeltà. Il viaggio oggi passa anche da lì.
The Flying Guru
Vuoi capire subito il punto centrale di questo articolo?
