I 6,3 miliardi di dollari che gli hacker hanno prosciugato da Binance, il più grande exchange di criptovalute al mondo, il 29 ottobre erano, all'inizio, facili da inquadrare come un problema solo legato alle criptovalute. Meno di una settimana dopo, questa interpretazione è crollata. Crédit Mutuel Arkéa, una banca francese, ha rivelato che gli aggressori si erano impossessati di circa 100 milioni di euro (112 milioni di dollari) dai suoi sistemi.

Gli attacchi consecutivi sottolineano che i furti informatici minacciano ormai le banche tradizionali, e non solo le piattaforme di asset digitali. In entrambi i casi, il punto d'ingresso degli aggressori è stata la fiducia umana o di terzi, piuttosto che una violazione diretta dei sistemi centrali.

"Le minacce che le banche affrontano sono schiaccianti"

I protagonisti del settore sostengono che l'episodio dica tanto quanto sulla finanza convenzionale quanto sulle criptovalute. "Se un'azienda come Binance può perdere miliardi di dollari, le minacce che le banche affrontano sono schiaccianti", ha dichiarato Ryan Kirkley, cofondatore e CEO di Global Settlement, che sviluppa infrastrutture blockchain per le banche. Parlando al Digital Asset Summit di Londra il 10 novembre, ha aggiunto: "È impossibile per una banca media restare al sicuro".

Il fondatore ed ex amministratore delegato di Binance, Changpeng Zhao, è andato oltre. "Se un exchange di criptovalute può essere violato, le banche sono in una posizione peggiore, a mio avviso", ha dichiarato a CoinDesk nei giorni successivi al furto.

Com'è avvenuta la violazione di Binance

Gli aggressori dietro il furto di Binance hanno combinato ingegneria sociale e software dannoso per prendere il controllo dei portafogli crypto e prosciugarli dei fondi. Con una campagna di reclutamento orchestrata, hanno organizzato una serie di finti colloqui di lavoro progettati per indurre un ingegnere di Binance a scaricare inconsapevolmente un malware, dando agli hacker una via d'accesso ai sistemi interni dell'azienda.

Il danno è stato poi parzialmente contenuto. L'FBI ha sequestrato 1,2 miliardi di dollari delle criptovalute rubate, e Binance ha confermato di aver "ricostituito" circa il 98% dell'importo totale colpito. Tuttavia, quel sequestro copre meno di un quinto del bottino originale, lasciando la maggior parte degli asset rubati non recuperata.

"Non automaticamente più sicure"

Secondo Katerina Mitrokotsa, professoressa di cybersecurity all'Università di St. Gallen in Svizzera, le debolezze sfruttate presso Binance non sono un'esclusiva del mondo crypto: le stesse vulnerabilità esistono all'interno delle istituzioni finanziarie tradizionali. "Le banche non sono automaticamente più sicure solo perché sono regolamentate", ha affermato.

Le autorità di regolamentazione su entrambi i lati dell'Atlantico seguono la questione da vicino. Negli Stati Uniti, la Federal Reserve e l'Office of the Comptroller of the Currency hanno iniziato a contattare le banche il 2 novembre per chiedere informazioni su attività insolite e interruzioni dei servizi, secondo Reuters. A luglio, la Banca Centrale Europea ha scritto agli amministratori delegati di 110 banche avvertendoli dei rischi dei modelli di IA di frontiera, che secondo l'istituzione stanno rendendo "più rapido ed economico identificare e sfruttare le vulnerabilità nei sistemi IT".

Dove le banche hanno un vantaggio

Le banche tradizionali hanno effettivamente alcuni vantaggi rispetto alle piattaforme crypto, secondo Vivien Mura, chief technology officer di Orange Cyberdefense, la divisione di cybersecurity del gruppo telecom francese Orange. Il Digital Operational Resilience Act (DORA) dell'UE, in vigore da gennaio 2025, impone alle banche di testare le proprie difese e segnalare gli incidenti informatici. "Beneficiano inoltre di meccanismi di cui le piattaforme crypto sono prive, come la possibilità di bloccare o invertire i pagamenti e una stretta collaborazione con le autorità di vigilanza e le forze dell'ordine", ha detto Mura.

Ha tuttavia riconosciuto che questi vantaggi hanno un limite. "Le banche sono meglio posizionate per assorbire e riprendersi da un grande attacco, ma non sono necessariamente migliori nel prevenirlo".

Fornitori e sistemi obsoleti

Mitrokotsa individua due punti debolità persistenti: la lunga catena di fornitori esterni da cui le banche dipendono — un rischio che il DORA cerca di affrontare sottoponendo i fornitori più critici alla supervisione diretta dell'UE — e la tecnologia datata su cui molte banche operano ancora.

Entrambi gli elementi erano in gioco nel caso di Crédit Mutuel Arkéa. Lì, gli hacker hanno ottenuto l'accesso attraverso un fornitore di servizi non identificato e hanno utilizzato il conto stesso della banca per effettuare transazioni. L'istituto ha comunicato ai clienti che l'incidente non aveva "alcun impatto" sui loro asset.

"Fornitori compromessi, dipendenti con accessi privilegiati, false proposte di lavoro e l'uso improprio di strumenti interni sono rischi riconosciuti da anni e non sono un'esclusiva di alcun settore", ha dichiarato a Fortune Lee Elliott, direttore resilienza e cyber di UK Finance, l'organizzazione di settore bancario britannica. Ha aggiunto che le banche beneficiano inoltre della prassi del settore di condividere l'intelligence sulle minacce tramite iniziative come il Financial Sector Cyber Collaboration Centre.

Quando un frigorifero diventa un punto d'ingresso

Gli aggressori stanno già sondando il parco IT datato dell'Europa anche al di fuori del settore bancario. Da ottobre, hacker hanno dirottato sistemi di refrigerazione connessi a Internet in supermercati di oltre una dozzina di paesi e in tre banche del sangue francesi. Danfoss, che ha prodotto i controllori elettronici di temperatura, ha dichiarato che la maggior parte delle unità colpite erano modelli più datati che non ricevono più aggiornamenti di sicurezza.

"Un frigorifero non sembra un rischio per la sicurezza, ed è esattamente per questo che piace agli aggressori", ha detto Mitrokotsa. "Le banche hanno lo stesso problema. Molte operano ancora con sistemi centrali vecchi di decenni, accanto a server obsoleti, sistemi di controllo degli edifici e accessi remoti dei fornitori".

Il suo consiglio è che le banche comincino a conoscere ogni dispositivo connesso alle proprie reti, assicurandosi poi che quelli che non hanno bisogno di raggiungere i sistemi centrali ne vengano isolati.

Le banche potrebbero persino imparare dal mondo crypto, ha aggiunto Mitrokotsa. "Alcuni exchange dividono il controllo di una chiave tra più parti, così nessun singolo computer può approvare un trasferimento da solo, un po' come una cassaforte che richiede due chiavi girate contemporaneamente. Un aggressore che compromette un solo portatile ottiene solo una parte di ciò che gli serve".

Gli agenti di IA aggiungono un nuovo livello di rischio

Gli agenti di IA personali rappresentano un'altra sfida emergente per le istituzioni finanziarie. I consumatori utilizzano sempre più spesso assistenti digitali — come Muse di Meta — per effettuare acquisti o pagare bollette per loro conto.

Alcune banche hanno deciso di chiudere la porta. Citigroup e Bank of America hanno limitato l'accesso degli agenti di IA ai conti dei clienti, e l'amministratore delegato di JPMorgan Chase Jamie Dimon ha esortato le istituzioni finanziarie a non consentire agli agenti di IA autonomi di gestire i pagamenti bancari, avvertendo del loro rischio "insidioso". Nel Regno Unito, HSBC, Nationwide, NatWest, Barclays e Lloyds hanno anch'esse bloccato l'accesso degli agenti di IA ai propri conti.

Altri istituti europei stanno seguendo una via di mezzo più cauta. Santander e ING consentono agli agenti di effettuare pagamenti, ma solo entro limiti stabiliti in anticipo dal cliente o dopo l'approvazione del cliente per ogni acquisto.

Con il numero di minacce informatiche in aumento — e con la maggior parte dei 6,3 miliardi di dollari rubati a Binance ancora non recuperata — l'attacco a Crédit Mutuel Arkéa non sarà probabilmente l'ultimo contro il settore finanziario europeo.

Questo articolo è stato originariamente pubblicato da Fortune: fortune.com