Pocket Bitcoin, società svizzera di servizi finanziari legati a Bitcoin, ha comunicato che un incidente di sicurezza avvenuto ad agosto ha esposto informazioni personali e finanziarie appartenenti a oltre 5.400 clienti, inclusi dati bancari e, in un numero più limitato di casi, documenti più sensibili.

Secondo le informazioni pubblicate da @WuBlockchain, Pocket Bitcoin ha dichiarato che nell'incidente sono stati esposti i dati di 5.120 clienti. Le informazioni coinvolte includevano nomi, indirizzi, importi e date dei bonifici bancari, mentre alcuni record contenevano anche IBAN.

Per altri 291 clienti sono state esposte informazioni più sensibili. Secondo l'azienda, questi dati potrebbero includere documenti d'identità, registrazioni sulla provenienza dei fondi, indirizzi Bitcoin e indirizzi di residenza. Documenti di questo tipo vengono generalmente raccolti dalle società finanziarie crypto regolamentate per soddisfare i requisiti di antiriciclaggio e di know-your-customer: per questo motivo, anche le aziende che non toccano mai le chiavi private dei clienti conservano grandi volumi di dati personali sensibili.

Database di clienti e transazioni non compromessi, dichiara l'azienda

Pocket Bitcoin ha dichiarato che i propri database di clienti e transazioni non sono stati compromessi durante l'incidente. Le informazioni esposte provenivano invece dalla corrispondenza bancaria e dagli elenchi di transazioni conservati nel sistema di supporto dell'azienda interessato dall'incidente.

La distinzione è significativa perché, secondo l'azienda, l'incidente non ha coinvolto i database principali contenenti i registri delle transazioni dei clienti. Pocket Bitcoin ha inoltre affermato che le holdings di Bitcoin e le chiavi private non sono state interessate. Pocket Bitcoin opera con un modello in cui i clienti acquistano Bitcoin attraverso la piattaforma e li detengono in autocustodia, il che significa che l'azienda non gestisce le chiavi private dei clienti — un design che limita l'esposizione finanziaria diretta di una violazione come questa ai dati personali anziché ai fondi.

L'azienda ha dichiarato che al momento non vi sono indizi di un uso improprio delle informazioni esposte. Tuttavia, la divulgazione di dati bancari, indirizzi di residenza e registrazioni sulla provenienza dei fondi potrebbe creare rischi potenziali per la privacy e la sicurezza dei clienti interessati, in particolare se le informazioni venissero successivamente combinate con dati ottenuti da altre fonti.

Notificata alle autorità per la protezione dei dati e alla polizia

Pocket Bitcoin ha dichiarato di aver segnalato l'incidente alle autorità per la protezione dei dati di Svizzera e Liechtenstein, oltre che alla polizia. Le notifiche ai regolatori di questo tipo sono in linea con gli obblighi previsti dalla legge svizzera sulla protezione dei dati che, in seguito alla revisione del 2023, richiede in molte circostanze la notifica delle violazioni che coinvolgono dati personali, nonché con il Regolamento Generale sulla Protezione dei Dati dell'Unione Europea, che si applica alle aziende che servono clienti UE e richiede in genere la notifica delle violazioni qualificabili entro 72 ore.

La risposta inserisce l'incidente nel più ampio contesto di attenzione normativa su cybersecurity e protezione dei dati personali nel settore dei servizi finanziari. Le aziende crypto che gestiscono informazioni bancarie e documenti d'identità affrontano rischi aggiuntivi, perché i dati personali compromessi possono potenzialmente essere utilizzati per frodi, social engineering o attacchi mirati anche quando gli asset digitali e le chiavi private restano al sicuro. Incidenti simili in altre società crypto, incluse violazioni a livello di exchange che hanno esposto documenti d'identità dei clienti, hanno dimostrato che le compromissioni limitate ai dati possono comunque causare danni significativi ai clienti e danni reputazionali.

L'attenzione immediata di Pocket Bitcoin e dei clienti interessati sarà quindi determinare la portata completa delle informazioni esposte e monitorare se emergano usi impropri a seguito della divulgazione.

Fonte: Hokanews