Comunicazione di sicurezza (art. 34 GDPR)

Aggiornato: 14/05/2026

Il 5 Maggio 2026 il sito www.nonsolocavallo.it - gestito da Studio Origgi s.r.l. (P.IVA 08102670968) - ha subito un attacco informatico. Sulla base delle evidenze attualmente disponibili, l’accesso illecito puo aver coinvolto alcuni dati personali registrati nella nostra area utenti. Non risultano coinvolti dati di pagamento, che non vengono memorizzati sui nostri sistemi.

Abbiamo informato gli utenti potenzialmente interessati con una comunicazione individuale via email, ai sensi dell’art. 34 del Regolamento UE 2016/679 (GDPR).

Cosa è accaduto

Il 5 Maggio 2026, intorno alle ore 10:52, abbiamo ricevuto messaggi a contenuto estorsivo da parte di soggetti che affermavano di aver avuto accesso illecito ai dati di una parte dei nostri sistemi informatici. Come misura preventiva immediata abbiamo messo offline il sito e abbiamo avviato le verifiche.

Il lunedì 11 Maggio 2026 gli stessi soggetti hanno ripreso le attività intimidatorie, contattando direttamente alcuni nostri clienti fingendosi noi.

Sulla base delle evidenze attualmente disponibili, l'attacco ha riguardato il livello applicativo del sito ecommerce. Stiamo conducendo, con il supporto di tecnici qualificati, ulteriori verifiche per accertare in modo completo l'esatta natura e portata dell'accesso illecito.

Quali dati possono essere stati coinvolti

Sulla base delle verifiche svolte fino ad oggi, non risultano coinvolti dati di pagamento (numeri di carta di credito, coordinate bancarie), perché tali dati NON VENGONO MAI MEMORIZZATI sui nostri sistemi: il pagamento avviene direttamente sui sistemi di PayPal, Klarna e degli altri istituti di pagamento, in qualità di autonomi titolari del trattamento.

Possono invece essere stati coinvolti, in tutto o in parte, i seguenti dati che gestiamo per finalità differenti:

Quali sono i possibili rischi per gli utenti

Sebbene non abbiamo evidenza di un uso improprio dei Suoi dati, l'accesso illecito a dati identificativi e di contatto può esporre a:

• spam non desiderato
• tentativi di messaggi che imitano lo stile del nostro brand (phishing)
• chiamate o SMS truffaldini (vishing / smishing)
• tentativi di ingegneria sociale
• in caso di password riutilizzata su altri servizi, accesso indebito a tali servizi
• in casi più rari, tentativi di furto di identità per altre transazioni online

Alcuni Suoi dati di contatto potrebbero essere utilizzati dagli stessi soggetti per contattarLa fingendosi noi.

Cosa abbiamo fatto e stiamo facendo

• Messa offline immediata del sito appena ricevuta la richiesta estorsiva
• Avvio di un'analisi tecnica con supporto sistemistico delle infrastrutture
• Notifica al Garante per la protezione dei dati personali ai sensi dell'art. 33 GDPR (il giorno stesso dell'evento)
• Contattata la Polizia Postale ed effettuata denuncia ai Carabinieri (il giorno stesso dell'evento)
• Rigenerazione di tutte le password degli account utente (procedura di recupero password attiva)
• Verifica e rafforzamento delle misure di sicurezza tecniche e organizzative
• Riapertura del servizio dopo i controlli di sicurezza considerati adeguati allo stato attuale delle verifiche

Tra i primi interventi, lo spostamento di tutto il contenuto dei file dalla root a una cartella esterna allo spazio web del sito.

È stata immediatamente effettuata la scansione completa del contenuto della sito web e del server. L’analisi sistemistica effettuata da Serverplan ha rilevato che non si è verificata compromissione lato HW ovvero server/sistema ma solo a livello di SW e quindi di applicativo.

Abbiamo prontamente modificato tutte le password di accesso ai servizi.
Abbiamo effettuato una verifica del codice sorgente del sito e dell’applicazione.
Introdotti controlli aggiuntivi firewall allo scopo di proteggere il sito web da futuri attacchi informatici e bloccare tutto il traffico web capace di danneggiarlo.

Scansione periodica, puntuale e mirata del sito per monitorarlo e proteggerlo in maniera molto approfondita da malware, vulnerabilità e altre minacce che potrebbero lanciare in futuro lo stesso gruppo o altri gruppi cycercriminali.
Abbiamo pubblicato la notifica pubblica sul sito internet www.nonsolocavallo.it/privacy.asp e successivamente, in data 13/05/2026, è stata anche inviata agli interessati una email di notifica data breach.

Stiamo continuando a monitorare la situazione e ad implementare ulteriori misure correttive.

Cosa Le chiediamo di fare

1. Reimposti la Sua password di accesso a nonsolocavallo.it tramite la procedura di recupero
2. Se ha utilizzato la stessa password su altri servizi (email, banca, social, altri ecommerce), cambi anche quelle scegliendo password diverse per ciascun servizio
3. Diffidi da messaggi, email o telefonate che dovessero arrivarLe a nostro nome chiedendo dati, pagamenti o credenziali: noi non Le chiederemo mai dati personali, codici di accesso o pagamenti via email/SMS/telefono in modo non sollecitato
4. Se ha dubbi su un messaggio o una chiamata, prima di rispondere ci contatti direttamente ai recapiti ufficiali in fondo a questa pagina
5. Valuti se attivare l'autenticazione a due fattori sui Suoi servizi più sensibili (email, home banking)

Punto di contatto per questa comunicazione

Per qualunque chiarimento, esercizio dei Suoi diritti privacy o segnalazione di tentativi sospetti che La coinvolgano a nostro nome:

• Email dedicata data breach: webmaster@nonsolocavallo.it
• Email privacy: staff@studiooriggi.it
• Telefono: 0362 990913 (Lun-Ven 8:30-18:30)

I Suoi diritti

artt. 15-22 GDPR Reg. UE 2016/679 - accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, opposizione a profilazione, revoca consenso, possono essere esercitati ai recapiti sopra indicati, anche via email.

Ci scusiamo per il disagio, continueremo a operare con la massima serietà, trasparenza e impegno per tutelare i Suoi dati.

Titolare del trattamento: Studio Origgi s.r.l. - Via Della Valle 46/a, 20841 Carate Brianza (MB) - P.IVA 08102670968

Per Maggiori approfondimenti sul trattamento dei dati personali: www.garanteprivacy.it/faq (sito del Garante per la protezione dei dati personali).

Cronologia aggiornamenti

Elenco in ordine cronologico inverso (dal più recente). Per l'evoluzione del caso si rimanda a questa stessa pagina (nonsolocavallo.it/privacy.asp).

• 13 Maggio 2026 - Invio agli interessati dell'e-mail di notifica di data breach (art. 34 GDPR).
• 12 Maggio 2026 - Pubblicazione della notifica pubblica su questa pagina in concomitanza con la rimessa online del sito dopo i controlli di sicurezza.
• 11 Maggio 2026 - Ripresa delle attività intimidatorie: contatti diretti ad alcuni clienti con impersonificazione del brand.
• 5 Maggio 2026 - Rilevazione dell'attacco (ore ~10:52), ricezione comunicazioni a contenuto estorsivo, messa offline del sito e avvio delle verifiche tecniche.

---

Questa comunicazione è effettuata ai sensi dell'art. 34 del Regolamento UE 2016/679 (GDPR). Sulla base delle evidenze disponibili al momento dell'aggiornamento, la pagine viene aggiornata in caso di nuove evidenze rilevanti.