Un nuovo capitolo di insicurezza investe il settore fintech: la piattaforma blockchain Figure, attiva nel lending e nelle soluzioni di equity tokenizzata, ha subito un attacco informatico che ha compromesso dati sensibili di quasi un milione di clienti. A conferma è intervenuto Troy Hunt, fondatore del sito ‘Have I Been Pwned’, che ha identificato 967.200 indirizzi email unici tra i file sottratti, indicando un raffinato furto di dati personali. Il gruppo cybercriminale ShinyHunters ha rivendicato l’azione, pubblicando i 2,5 GB di dati sottratti sul proprio sito di leak.
La dinamica del data breach
Figure ha ammesso la fuga di un “numero limitato di file” dalla propria infrastruttura. È stato Troy Hunt, analizzando il materiale reso disponibile, a far emergere il quadro completo: 967.200 email uniche, insieme a nomi, date di nascita, indirizzi fisici e numeri di telefono. Questi dati sono stati resi pubblici dal gruppo ShinyHunters, già noto per precedenti compromissioni.
ShinyHunters: un attore ricorrente nelle minacce
Il collettivo ShinyHunters, già responsabile di attacchi a brand di rilievo, ha rivendicato questa operazione. Il gruppo è solito condurre attacchi su larga scala, pubblicando i dati sottratti qualora le vittime non rispondano alle richieste di riscatto.
Sebbene non siano state dettagliate le tecniche specifiche utilizzate, questa operazione sembra allineata al loro modus operandi, che include attacchi basati su social engineering o phishing mirati ai sistemi CRM o ai database clienti.
Implicazioni per compliance e fiducia
Il data breach di Figure solleva un duplice fronte critico: da un lato, la compliance normativa, con possibili implicazioni da parte degli enti di regolazione dei dati; dall’altro, l’erosione della fiducia di clienti e partner, elemento essenziale nel settore fintech. La capacità di risposta tempestiva e trasparente sarà fondamentale per contenere il rischio reputazionale e attrarre nuovamente investitori.
Strategie di risposta e mitigazione
La comunicazione ufficiale di Figure non è stata approfondita, ma si prevedono misure standard per questi incidenti, come l’offerta di servizi di monitoraggio del credito e alert attivi su possibili frodi. Sarà cruciale il rafforzamento dell’autenticazione e l’implementazione di sistemi di sicurezza basati sul principio zero-trust. Necessaria anche una revisione delle procedure interne, della segmentazione dei dati e dei controlli sugli accessi.
Fintech: innovazione e sicurezza, un binomio indissolubile
La vicenda di Figure richiama un concetto chiave: l’innovazione fintech non esime dalle vulnerabilità tradizionali. Le infrastrutture moderne integrano blockchain, cloud e terze parti, ma permangono punti deboli nei sistemi CRM e nella gestione del personale.
Occorre alzare il livello di maturità nella cultura della cybersecurity, adottando misure preventive, audit regolari e training specifici sul phishing e l’ingegneria sociale.
Per i clienti, l’incidente sottolinea la necessità di vigilare costantemente sugli account, attivare alert su transazioni e adottare buone pratiche di sicurezza digitale, come password forti, autenticazione a più fattori e monitoraggio del proprio credito.
In sintesi, il data breach che ha coinvolto 967.200 clienti di Figure è una ferita profonda nella reputazione di un attore fintech innovativo: non basta costruire soluzioni all’avanguardia se il presidio della sicurezza non avanza di pari passo. In un contesto dove i dati personali sono la materia prima più preziosa, la resilienza non è un optional.
