Privacy e sicurezza: ci si può fidare ancora delle banche?

A proposito di alcune notizie "affiorate" a pelo d'acqua...

di Gian Paolo Masone

Tutti sperimentiamo quotidianamente come alcune notizie ristagnino sui media per giorni, articolandosi e ingigantendosi con il passare delle settimane, mentre altre, pur di uguale o maggiore rilevanza, affiorino in superficie solo per il tempo che un pesce inseguito dai predatori riesce a star fuori dall'acqua. E proprio come del pesce tornato nel profondo non si sa più nulla, così di quei fatti comparsi fugacemente sulle pagine dei giornali si perde rapidamente ogni traccia. Ognuno, ovviamente, resta libero di darsi una spiegazione in proposito.

Tra le notizie “pesce fuori dall’acqua” meritano di essere ripescate e lette assieme quelle riguardanti le due gravissime violazioni della privacy e della sicurezza verificatesi, a distanza di pochi anni, all'interno del Gruppo bancario italiano più rappresentativo: Intesa Sanpaolo.

Episodi imbarazzanti

Il primo episodio[1] ha visto come protagonista un dipendente che, operando da una filiale pugliese, ha potuto visionare impunemente per anni le posizioni di migliaia di correntisti sparsi su tutto il territorio nazionale. Questa operazione di spionaggio sistematico si è consumata senza che scattasse alcun allarme informatico, nonostante molti degli accessi abusivi riguardassero figure istituzionali di altissimo profilo, primo fra tutti il Presidente della Repubblica. Le indagini successive, peraltro, hanno rivelato come tali intrusioni non fossero circoscritte a un singolo individuo, ma avessero coinvolto anche altri dipendenti impiegati in diverse sedi del medesimo istituto.

Il secondo, clamoroso incidente ha invece travolto l'ex Presidente di Fideuram, sempre all'interno del Gruppo Intesa Sanpaolo. Su impulso di un messaggio WhatsApp e di una successiva telefonata attribuita all'Amministratore Delegato del Gruppo, benché abilmente contraffatte tramite intelligenza artificiale, sono stati disposti bonifici a raffica verso Cina, Hong Kong e Portogallo per un totale vicino ai cento milioni di euro, fondi poi recuperati solo parzialmente.

La contromisura del "Programma Nemo"

Questi due episodi esigono di essere letti in maniera congiunta, non soltanto per la comune appartenenza aziendale, ma perché dimostrano inequivocabilmente come le reazioni al primo scandalo non siano state sufficienti. Il reclutamento istantaneo di un ex generale dei Carabinieri non è bastato a radicare quell'infrastruttura di presidi in materia di cybersicurezza e di privacy e quella cultura della riservatezza che, in un istituto di tale levatura, dovrebbero rappresentare un prerequisito indiscutibile. Al contrario, fin dalle fasi immediatamente successive alla scoperta delle intrusioni informatiche, è prevalso un atteggiamento di grave sottovalutazione, culminato nella mancata e tempestiva comunicazione dell'incidente ai clienti spiati. L'imponenza della risposta organizzativa successiva, incarnata dal cosiddetto Programma Nemo[2], non fa che rimarcare, ex contrariis, l'abisso delle disattenzioni procedurali che ha reso possibile la violazione iniziale.

Evidentemente però, ai vertici è sfuggito come oggi la tutela della privacy sia inestricabilmente legata alla sicurezza cibernetica. La totale inosservanza di quest'ultima è stata alla base della seconda frode, in cui l'istituto si è misurato con veri professionisti del raggiro, capaci di confezionare un inganno digitale di altissima fattura. Tuttavia, se l'eccellenza tecnica dei truffatori può risultare fatale per il risparmiatore sprovveduto, non può costituire un alibi per un gruppo bancario di rilevanza sistemica, specialmente di fronte a movimentazioni di tale entità e dirette verso geografie finanziarie notoriamente opache.

Anche il licenziamento dei protagonisti appare un rimedio obbligato ma tardivo e, forse, avrebbe potuto e dovuto essere esteso anche a quei dirigenti che non hanno vigilato sull’esistenza e sulla funzionalità delle procedure di sicurezza: di ciò, tuttavia, non si è avuta notizia.

Per sventare l'attacco sarebbe stato sufficiente adottare contromisure procedurali basilari, come una banale richiamata di verifica da telefono fisso a telefono fisso, l'impiego di parole d'ordine o il divieto assoluto di impartire disposizioni tramite canali informali. A queste si sarebbero dovute affiancare barriere tecniche sicuramente alla portata di una grande banca, come quella conferma biometrica che viene quotidianamente imposta a qualsiasi cittadino nel momento in cui desidera investire online cifre del tutto modeste.

Scenari di guerra ibrida

L'attuale scenario di guerra ibrida internazionale non fa che amplificare l'allarme per questa vulnerabilità sistemica, insinuando il timore che tali fragilità siano diffuse anche in altre cruciali realtà finanziarie e industriali del Paese. La privacy, benché non menzionata esplicitamente in questi termini dalla nostra Costituzione — che ne tutela comunque i presupposti fondamentali — rientra a pieno titolo tra i diritti inviolabili della persona. Sarebbe profondamente inquietante se il sistema bancario, forte dei propri periodici contributi alle finanze pubbliche, si sentisse sollevato dal rigoroso rispetto delle normative sulla sicurezza digitale (oltreché in materia di concorrenza).

Alla luce di queste vicende, si conferma un'amara evidenza: in Italia, la tutela della privacy continua a essere percepita troppo spesso non come un diritto inalienabile, ma come un mero e fastidioso adempimento burocratico.

 Note

[1] L’Autorità per la privacy ha adottato una sanzione da 31,8 milioni di euro a carico di Intesa Sanpaolo fondata su gravi violazioni del Regolamento Europeo sulla Privacy (GDPR): contro la decisione pende il ricorso da parte della banca.

[2] I rimedi adottati dalla Banca — compendiati nel c.d. Programma Nemo — si snodano attraverso alcuni capisaldi quali Autorizzazioni ex-ante: pop-up e iter digitale per accessi fuori portafoglio; Ringfencing: clienti sensibili con accesso limitato; Data masking dinamico: oscuramento dati non necessari; Alert avanzati: sistemi di monitoraggio comportamentale.