Multa da 9,6 milioni a Xandr su Grindr, Yandex offline e 8,6 milioni di dati karaoke esposti

🛡️ Executive Summary

• L’autorità norvegese Datatilsynet ha multato Xandr (Microsoft Advertising) di 9,6 milioni di dollari per aver condiviso dati sensibili di utenti Grindr senza verificare il consenso esplicito.
• Yandex conferma interruzioni prolungate ai servizi cloud dopo attacchi con droni a tre data center; i file degli utenti restano inaccessibili e non c’è timeline di ripristino.
• Un malware su un computer di Nippon Columbia ha esposto oltre 8,6 milioni di record di clienti karaoke di Daiichi Kosho (nomi, date di nascita, email, telefoni).

Tre incidenti distinti, pubblicati nelle ultime ore, mostrano quanto restino fragili i meccanismi di consenso nella pubblicità programmatica, la resilienza delle infrastrutture cloud sotto pressione geopolitica e la protezione dei dati clienti in catene di outsourcing. La Norvegia ha inflitto la multa più alta della sua storia a un’azienda del gruppo Microsoft per dati Grindr; Yandex non è ancora riuscita a ripristinare l’accesso ai file cloud; e un malware ha colpito i dati di milioni di appassionati di karaoke giapponesi.

Datatilsynet multa Xandr per i dati sensibili di Grindr

L’autorità norvegese per la protezione dei dati (Datatilsynet) ha sanzionato Xandr — la società di advertising di Microsoft, oggi operante come Microsoft Advertising — con 92 milioni di corone norvegesi (circa 9,6 milioni di dollari). È la multa più elevata mai emessa dall’autorità. Secondo il provvedimento, tra luglio 2018 e aprile 2020 Xandr ha agito come joint controller insieme a Grindr e ha condiviso dati personali sensibili di utenti norvegesi dell’app di dating LGBTQ+ con migliaia di inserzionisti attraverso aste in tempo reale, senza verificare che esistesse un consenso esplicito valido.

I dati includevano informazioni di profilazione legate all’orientamento sessuale, alla posizione e ai comportamenti. La denuncia originaria era stata presentata nel gennaio 2020 da Noyb e dal Norwegian Consumer Council. Datatilsynet ha sottolineato che Xandr non ha verificato la base giuridica del trattamento. Microsoft ha precisato che l’indagine riguarda condotte precedenti all’acquisizione di Xandr e che sta valutando le opzioni, inclusa un’eventuale impugnazione (ha tre settimane di tempo). Noyb ha definito la decisione un colpo significativo all’industria adtech.

La sanzione arriva in un periodo in cui più autorità europee stanno stringendo i controlli sulla pubblicità programmatica e sul trattamento di dati di categorie particolari. Non risulta, al momento, un comunicato ufficiale di Grindr sulla multa.

Yandex: file cloud inaccessibili dopo gli attacchi ai data center

Yandex ha confermato che gli utenti stanno perdendo l’accesso ai file salvati nel cloud dopo una serie di attacchi con droni che hanno danneggiato tre data center. I siti di Sasovo e Vladimir risultano completamente fermi, mentre Kaluga opera in modo degradato. Gli incidenti si sono verificati tra l’8 e l’11 ottobre. Gli utenti segnalano errori 302, 504 e 500 quando tentano di scaricare o visualizzare i file su Yandex Disk; alcuni backup mostrano miniature mancanti.

L’azienda ha dichiarato che le squadre lavorano ininterrottamente, ma la configurazione residua delle risorse è considerata instabile e la piattaforma è in modalità di emergenza. Non è stata fornita una timeline affidabile di ripristino e non è chiaro se parte dei dati sia andata persa in modo irreversibile. Servizi come Console, API, S3, Kubernetes e database risultano parzialmente disponibili, mentre Monium è offline. Yandex raccomanda ai clienti di utilizzare infrastrutture alternative per il disaster recovery.

Matrice Digitale aveva già documentato gli attacchi ai tre data center e il possibile impatto sui supercomputer AI di Yandex. L’elemento nuovo è la conferma ufficiale delle interruzioni prolungate per gli utenti finali e l’assenza di garanzie sul recupero dei file.

Nippon Columbia: malware espone 8,6 milioni di record karaoke

Daiichi Kosho, operatore delle catene karaoke BIG ECHO, MEGA BIG, Karaoke CLUB DAM e altre, ha reso noto che un malware ha infettato un computer di un dipendente di Nippon Columbia Group (NCG), società a cui affida la gestione dei dati clienti. L’infezione è stata comunicata il 5 ottobre e il sistema isolato il giorno successivo. I record interessati riguardano 8.631.000 clienti e 93.000 dipendenti, per un totale di oltre 8,7 milioni di anagrafiche.

I dati esposti includono nome completo, genere, data di nascita, indirizzo email e numero di telefono. Non risultano coinvolte password o punti fedeltà. Daiichi Kosho ha precisato che i propri sistemi non sono stati compromessi e che non c’è evidenza di utilizzo illecito dei punti. Ha tuttavia invitato i clienti a diffidare di comunicazioni non sollecitate via email, SMS o telefono che chiedono pagamenti o informazioni sensibili. Nippon Columbia sta ancora indagando sulla causa e sull’eventuale esfiltrazione effettiva dei dati; al momento non ha pubblicato un proprio comunicato dettagliato.

L’incidente evidenzia i rischi delle catene di outsourcing dei dati clienti, soprattutto quando un singolo endpoint compromesso può esporre anagrafiche di milioni di persone. Non risultano, al momento della pubblicazione, conferme di vendita o uso illecito dei record.

Leggi anche: la multa del Garante a Character.AI per la protezione dei minori

Tre livelli di rischio diversi

La multa norvegese riguarda il mancato controllo del consenso in un’asta pubblicitaria su dati di categoria particolare. L’outage Yandex è una conseguenza diretta di attacchi fisici a infrastrutture critiche, con impatto immediato sulla disponibilità dei dati degli utenti. L’episodio karaoke è un classico malware su endpoint di un fornitore, con potenziale esposizione di anagrafiche su larga scala. In tutti e tre i casi manca, al momento, una piena chiarezza sull’esito finale: Microsoft può impugnare, Yandex non ha timeline di ripristino e Nippon Columbia non ha ancora confermato se i dati siano stati effettivamente esfiltrati.

Continua con:

• gli attacchi ai data center Yandex e l’impatto sui supercomputer AI
• le sanzioni del Garante italiano su telemarketing e dati sensibili

Al 13 ottobre 2026 le tre vicende restano aperte. La sanzione a Xandr è già esecutiva ma impugnabile, l’accesso ai file Yandex è ancora compromesso e l’indagine sul malware di Nippon Columbia è in corso. In tutti e tre i casi l’elemento comune è la difficoltà, per utenti e autorità, di ricostruire rapidamente l’entità reale dell’esposizione o della perdita.