Questa è solo una delle tante fughe di dati avvenute tra le aziende francesi nelle ultime settimane, ma potrebbe essere più grave delle altre. L'operatore Free ha rivelato sabato 26 ottobre di essere stato vittima di un attacco informatico durante il quale sono stati rubati i dati personali di milioni di abbonati, e in particolare gli identificativi bancari (Iban). L'hacker che ha rivendicato il gesto afferma di possedere più di 5 milioni di Iban, come riportato da diversi esperti di cybersecurity, tra cui Damien Bancal all'AFP.
Quando è stata annunciata questa fuga di dati, alcune voci sono state rassicuranti, sostenendo che era impossibile per un truffatore svuotare un conto bancario semplicemente utilizzando un Iban. Tuttavia, diversi esperimenti dimostrano che è possibile utilizzare questi identificatori per effettuare pagamenti, senza previa autorizzazione, anche per pagamenti regolari.
Due giornalisti del sito di notizie tecnologiche 01Net, ad esempio, si sono scambiati i rispettivi Iban per cercare di “rubarsi” a vicenda denaro acquistando prodotti su Internet. Il primo test è stato effettuato su Amazon. Il giornalista ha potuto aggiungere l'Iban del collega come mezzo di pagamento, poi ha acquistato un prodotto poco costoso (una penna a quattro colori) che ha consegnato, senza la minima verifica d'identità o segnalazione al titolare del conto.
Che dire degli abbonamenti e dei loro pagamenti regolari? Il sito ha effettuato un'altra prova, abbonandosi ad un piano di telefonia mobile da 2 euro al mese di Bouygues Telecom. Per i prelievi la giornalista ha utilizzato l'Iban del collega. In nessun momento la persona “rubata” è stata informata dell'utilizzo del suo Iban. La procedura venne validata qualche giorno dopo con la firma elettronica apposta dal giornalista… senza codice di convalida.
Sebbene i giornalisti abbiano successivamente informato Bouygues della loro esperienza, è stato solo alla vigilia del primo campione che il dipartimento antifrode dell'azienda ha contattato la giornalista, perché lei “I dati bancari non sembrano[ai]“non corretto”. Tuttavia, il suo collega è stato effettivamente prelevato nella data prevista. Questo L'addebito è stato infine annullato, senza che il titolare del conto bancario ne fosse informato.
Le banche qui trasferiscono la responsabilità alle società che ricevono i soldi. “Spetta al creditore che riceve il mandato di addebito diretto verificare la corrispondenza tra l’Iban e l’intestatario”sottolinea Crédit Agricole a 01Net. È questo il principio stesso della Sepa (“Area unica dei pagamenti in euro”), la regolamentazione europea in vigore dal 2014 in 31 Paesi d’Europa.
L’associazione UFC-Que Choisir aveva lanciato l’allarme sull’argomento nel 2014. “A differenza del vecchio sistema, le banche non sono più tenute ad ottenere l'autorizzazione del cliente per effettuare un addebito diretto. Ora è il destinatario dell'addebito diretto a presentare la richiesta alla banca stessa. 'istituto'”spiega l'associazione sul suo sito. “Conseguenza pratica: chiunque abbia il numero Iban di un privato può prelevare denaro da esso, senza alcun controllo da parte della banca”.
Perché i creditori non verificano sistematicamente le identità? Interrogato da 01Net, Bouygues lo ha dichiarato “vuole offrire ai propri clienti un'esperienza fluida e affidabile, numerosi strumenti consentono di effettuare controlli automatici e anche manuali per rendere sicure le transazioni”. Amazon, dal canto suo, ne fa menzione “team dedicati” e i suoi investimenti “in sistemi all’avanguardia di gestione del rischio a tutela dei clienti”. Nessuno però spiega concretamente cosa viene messo in atto per verificare che chi inserisce un Iban sia effettivamente il titolare del conto bancario.
Quindi, cosa fare? Il primo consiglio è quello di monitorare gli addebiti sul tuo conto bancario, cercando i pagamenti che non hai effettuato. Anche quelli più piccoli, che più facilmente possono passare inosservati. Le banche ti permettono anche di consultare l'elenco dei creditori attualmente registrati sul tuo conto, per individuare nomi sospetti.
Hai quindi diversi mezzi di ricorso. Da un lato, l'ente che riceve il denaro deve notificare il ritiro almeno 14 giorni prima della sua esecuzione, ricorda la Banque de France sul suo sito (a meno che non esista un accordo contrattuale che stabilisca un processo diverso). Inoltre, se è stato firmato un mandato di addebito diretto, hai otto settimane per contestare un addebito diretto con la tua banca e la banca deve rimborsarti entro dieci giorni. Se non è stato siglato alcun mandato hai 13 mesi e devi essere rimborsato “entro e non oltre la fine del primo giorno lavorativo successivo”spese bancarie e aggi inclusi.
Ma ciò non impedisce ai truffatori di riprovare, sullo stesso sito o su un altro. Possiamo trattare il problema alla fonte? Puoi vietare alle entità di addebitarti dei costi chiedendo alla tua banca di inserirle nella tua “lista nera”. Al contrario, puoi inviare alla tua banca una “lista bianca” di società che autorizzi a effettuare bonifici. Se un'azienda non elencata tenta di addebitare il tuo conto, il movimento verrà bloccato.
In entrambi i casi, la vostra banca ha l'obbligo di accettare questa richiesta, ricorda l'associazione UFC-Que Choisir sul suo sito. Tieni presente che un truffatore può quindi utilizzare il tuo Iban per pagare i servizi delle aziende che compaiono in questa lista bianca. Ma almeno i rischi si riducono.
