Il 16 settembre mi è arrivato un SMS che aveva come mittente MyCompass e testo «Gentile Cliente, ti inoltriamo l’informativa Privacy: https://www.compass.it/ share/pdfs/COM087FART135.pdf» (ho aggiunto uno spazio per evitare che qualcuno clicchi per sbaglio sul link). Ovviamente io non ho mai interagito con Compass. Avrei potuto semplicemente buttare via come al solito il tutto, ma il fatto che da SMS non possono mettere un link fasullo e quindi si finiva sul sito Compass e quel “pdfs” con la esse finale, oltre a un nome di file oscuro, mi hanno insospettito: non è che hanno bucato il sito? Chiedo al mio amico avvocato che posso fare e lui mi dice “scrivi al loro DPO” (il Data Protection Officer) e poi “Se proprio vuoi avere senso civico, anche ad ACN” (l’Agenzia per la Cibersicurezza Nazionale). Io guardo il sito ACN e trovo scritto “non rompeteci le palle con le segnalazioni”. Cerco il DPO di Compass, scopro che è a Mediobanca, e gli scrivo, dicendo che il sito potrebbe essere compromesso e che comunque non ho cliccato nulla quindi io personalmente non ho problemi. Il 18 (quindi non il giorno successivo ma quello dopo) mi scrive Compass con titolo “Reclamo Inserito” e testo “Gentile Cliente, abbiamo ricevuto il suo reclamo che verrà evaso entro 30 giorni. Inoltre, potrà prendere visione delle modalità di trattazione dei reclami sul sito della Società, nella sezione Dalla Parte dei consumatori. Compass Banca S.p.A. Ufficio Reclami”.
Ok, hanno ancora più di tre settimane per evadere il mio “reclamo”, che reclamo non è. Vi terrò informati se avrò un’ulteriore risposta. Quello che mi chiedo è se qualcuno ha effettivamente letto la mia mail, che tra l’altro è stata spedita a uno specifico indirizzo e non a un generico “contatti”; e soprattutto mi chiedo cosa devo fare la prossima volta con il mio senso civico. È possibile che mi sia sbagliato e il loro sito sia blindato, ma con una comunicazione di questo tipo continuo ad avere dei dubbi.
Ultimo aggiornamento:: 2026-09-23
Scaricherò per curiosità il pdf, ma sappi che molto raramente oggigiorno sono un vettore di trojan, dato che ci sono molti lettori diversi con buchi diversi, a meno di non sapere quale usa il malcapitato di turno diventa difficile fare qualcosa che abbia una resa decente.
Aggiornamento: su una VM il PDF non viene visualizzato, e facendo un dump è diverso dai documenti “standard”. Non contiene di per sé codice, ma potrebbe sfruttare qualche errore di qualcuno. Insomma, sospetto ma non necessariamente ostile.
Il path sembra coerente con quello originale che si vede sugli n documenti sulla privacy pubblicati sul sito, anche il riferimento ad art. 135 è plausibile.
Il problema maggiore è come sia arrivato a te (ma ne vedo anche molti altri).
Mi è parso “interessante” il fatto che la casella del Dpo, come interpreto io dal tuo racconto, sia gestita dall’ufficio reclami. (Sono curiosa di scoprire che tipo di organizzazione terranno post fusione nei prossimi mesi. Ma la cosa – per fortuna – non mi tocca direttamente già da un po’. L’altra fusione con eventuale scissione o le altre fusioni in parte sì. VEdremo).
Provate a far analizzare il file https://pdfcrowd.com/inspect-pdf/ e anche
VirusTotal, Jotti’s Malware Scan and VirSCAN.
se è un attacco, probabilmente userebbe una vulnerabilità di (qualche vecchia versione di) Acrobat: inutile testarlo per tutto.
@Silvia: sì, ho scritto al DPO di Mediobanca, non ho reclamato con nessuno. Più che altro mi preoccupa (per loro) che non sappiano distinguere una segnalazione da un reclamo.
@mestesso: immagino comunque che lanciando file(1) dica che è un pdf, no?
Sì, è un pdf con dentro una immagine con il logo (ma non è Compass) e qualcosa d’altro. Il reader linux non l’ha digerito (e succede, PDF ha molte varianti ed alcuni client non supportano tutto), ma è un pdf leggibile. Usando pdfcrowd si può dire che sembra sano, anche se rimane molto strana la segnalazione via SMS.
Quantomeno non è stato segnalato in precedenza come “pericoloso”, rimane sospetto per la notifica smishing.