Abuse policy

1. Contatto

L'indirizzo ufficiale per le segnalazioni di abuso è abuse@internet.one. È la stessa casella pubblicata in RIPE come attributo abuse-mailbox dell'organizzazione e dell'AS44160.

La casella è monitorata da personale tecnico qualificato. Per comunicazioni cifrate la chiave PGP è disponibile su richiesta scrivendo a security@internet.one.

Per casi urgenti e qualificati provenienti da CERT/CSIRT, FFLLEE o threat intelligence provider riconosciuti è disponibile un canale prioritario su richiesta a security@internet.one.

2. SLA di risposta

Categoria	Triage iniziale	Sospensione cautelativa
Critico: child safety (CSAM), malware C2 attivo, attacchi DDoS in corso, frodi di rilevante entità, ordine dell'Autorità	≤ 4 ore (anche fuori orario lavorativo)	Entro 24 ore dalla segnalazione qualificata
Alto: phishing attivo, hosting malware, brute force, intrusione	≤ 8 ore lavorative	Entro 48 ore
Medio: spam, port scanning, hosting di siti scam non più attivi	≤ 24 ore lavorative	Caso per caso
Basso: dispute commerciali, richieste DMCA-like, segnalazioni non qualificate	≤ 5 giorni lavorativi	Non applicabile

3. Formato della segnalazione

Accettiamo segnalazioni nei seguenti formati:

• ARF (Abuse Reporting Format, RFC 5965) — preferito
• X-ARF (eXtended ARF JSON/YAML)
• Plaintext ben strutturato con: IP sorgente / destinatario, timestamp con timezone (preferito UTC o IT TZ), tipo di evento, log o messaggio originale con header completi, pcap se disponibile
• Comunicazioni delle Autorità: PEC istituzionale internetone@pec.it o canali ufficiali concordati

Le segnalazioni devono contenere informazioni sufficienti a identificare univocamente il cliente coinvolto. In assenza di timestamp accurato (timezone, secondi) la segnalazione viene gestita best-effort.

4. Procedura interna di triage

1. Ricezione e classificazione: la segnalazione è registrata e classificata per gravità.
2. Validazione tecnica: verifica della corrispondenza fra l'IP/risorsa segnalata e un nostro cliente attivo, controllo dei log di rete e dei sistemi pertinenti.
3. Identificazione: identificazione del cliente coinvolto via record di autenticazione, log DHCP, RADIUS, fatturazione (mantenuti ai sensi della data retention policy).
4. Contestazione: notifica al cliente con richiesta di chiarimenti e di immediata cessazione della condotta entro il termine indicato.
5. Sospensione: ove giustificato dalla gravità o dall'assenza di riscontro, sospensione cautelativa del Servizio o di sotto-risorse (singolo IP, prefisso, VM).
6. Risoluzione contrattuale: in caso di violazioni gravi o reiterate, risoluzione del contratto ex art. 1456 c.c. e ai sensi dell'art. 8 CGC.
7. Riscontro al segnalante: comunicazione al segnalante dell'esito (entro i limiti consentiti dalla riservatezza degli accertamenti).

5. Cooperazione con threat intelligence e organismi terzi

Cooperiamo con i principali feed pubblici e privati di threat intelligence. Le segnalazioni qualificate provenienti dagli operatori sotto elencati hanno corsia preferenziale:

• Spamhaus (SBL, CSS, XBL, PBL, DROP/EDROP)
• Infoblox Threat Intel
• Cisco Talos
• abuse.ch (URLhaus, Feodo Tracker, MalwareBazaar, ThreatFox)
• Shadowserver Foundation
• CSIRT-Italia (ACN)
• Internet Watch Foundation (CSAM)
• Polizia Postale e delle Comunicazioni

6. Trasparenza e statistiche

Pubblichiamo, su base periodica, dati aggregati sui volumi di segnalazioni ricevute, tempi di risposta e azioni intraprese, secondo i requisiti di trasparenza applicabili (art. 15 Reg. UE 2022/2065 — DSA, ove applicabile) e ai sensi della normativa NIS2 nei termini stabiliti da ACN.

7. Conservazione delle segnalazioni

Le segnalazioni e la documentazione di gestione sono conservate per finalità di compliance, audit interno, eventuale accertamento da parte dell'Autorità, ai sensi delle nostre policy privacy e data retention.

8. Limiti

L'Operatore non rivela dati personali del cliente segnalato al di fuori dei casi previsti dalla legge e su richiesta dell'Autorità giudiziaria o di pubblica sicurezza, ai sensi degli artt. 132 D.Lgs. 196/2003 e 132-bis e ss. Il segnalante viene informato delle azioni intraprese, salvo che la riservatezza degli accertamenti lo precluda.