La vicenda di Revolut sta causando reazioni forti in rete e sulla stampa, ma a quanto vedo la domanda fondamentale, il «perché?», rimane insoluta. Per quale ragione qualcuno dovrebbe prendersi il rischio di compromettere — o impersonare — la PEC della polizia per ottenere dati relativi ad account Revolut, se i proprietari di quegli account non hanno denunciato ammanchi, utilizzi fraudolenti delle carte o accessi ai loro conti? Non ho detto che sia difficile. Ho detto che è pericoloso, nel senso legale del termine. Prima ancora di ricostruire il cosa, quindi, bisogna ricostruire la necessità.

Per prima cosa, accenniamo al KYC. Il KYC, Know Your Customer, è l'insieme degli obblighi che impongono a determinate aziende — banche, intermediari finanziari, assicurazioni e, in determinati casi e ordinamenti, anche operatori di telecomunicazioni — di sapere chi sia realmente il cliente al quale stanno intestando qualcosa: un conto corrente, una carta, una polizza, una SIM, e così via.

Nel settore finanziario il KYC è uno dei pilastri della normativa antiriciclaggio: non basta raccogliere un nome scritto in un modulo, bisogna identificare il cliente e verificarne l'identità attraverso documenti o fonti affidabili; per le società bisogna arrivare anche al cosiddetto beneficial owner, il titolare effettivo, cioè la persona fisica che alla fine possiede o controlla davvero quella struttura. Inoltre, il controllo non termina necessariamente all'apertura del conto: fa parte della customer due diligence anche osservare il rapporto nel tempo e individuare operazioni incompatibili con il profilo dichiarato del cliente.

Il motivo è abbastanza ovvio: senza questo meccanismo sarebbe estremamente facile costruire dei proxy, cioè persone, società, numeri telefonici o conti formalmente intestati a qualcuno ma utilizzati in realtà da qualcun altro. E questi proxy sono strumenti preziosi per riciclaggio, frodi, hacking, finanziamento di attività criminali e, più in generale, per qualunque operazione nella quale sia utile separare l'identità di chi agisce dall'infrastruttura che utilizza.

Revolut, per esempio, operando nell'Unione Europea come banca, è soggetta a questi obblighi di identificazione e verifica della clientela, oltre agli altri adempimenti previsti dalla normativa antiriciclaggio.

Ma attenzione, perché qui rischiamo di commettere un errore: pensare che la banca debba, o possa, esporre solo i dati ottenuti tramite KYC. E non è così. Revolut, per esempio, vi può dare una normale carta collegata a un conto intestato alla vostra identità verificata. Ma può anche fornirvi carte sulle quali è possibile stampare del testo personalizzato: in pratica, sulla plastica può comparire un nome completamente diverso dal vostro. Io stesso, per dire, ne ho una con scritto PUFFO SIFFREDI.

Questo non viola affatto il KYC.

La banca sa perfettamente chi sono io, sa a quale conto è collegata quella carta e sa chi ne risponde legalmente. Semplicemente, chi prende in mano la carta non è detto che possa ricavare da ciò che vi è stampato sopra l'identità che Revolut conserva nei propri sistemi.

Ed è una distinzione importante: il KYC obbliga la banca a sapere chi siete. Non obbliga necessariamente lo strumento che usate a dichiararlo al resto del mondo.

Ovviamente, il fatto che sulla mia carta ci sia scritto PUFFO SIFFREDI non inficia minimamente il lavoro della polizia. Anche se ci fosse stampato il mio vero nome, per un'indagine servirebbe comunque la conferma di Revolut: è Revolut che può attestare chi sia realmente il titolare della carta, a quale conto sia collegata e quali dati KYC siano associati a quella persona.

Il problema comincia quando non siete la polizia, ma siete, che so io, Azienda X, e volete sapere chi sia davvero questo PUFFO SIFFREDI.

Io, per esempio, uso questa carta principalmente per acquistare online servizi nei casi in cui il venditore non abbia alcuna necessità di conoscere la mia vera identità o il mio indirizzo reale: servizi che non richiedono una fattura nominativa, per dire. A seconda del sistema di pagamento, il venditore potrà vedere alcuni dati tecnici e quelli che gli fornisco durante il checkout, ma non per questo avrà accesso alla mia identità verificata presso Revolut. Dal suo punto di vista, quindi, io posso tranquillamente essere PUFFO SIFFREDI, associato a un certo strumento di pagamento.

E, per i non italiani, Puffo Siffredi è persino un nome plausibile.

Ma se Azienda X vuole monetizzare davvero quei dati, profilarmi, collegare i miei acquisti ad altre informazioni, oppure usarmi come bersaglio pubblicitario, allora ha un problema: deve scoprire chi sia, nel mondo reale, questo Puffo Siffredi.

Azienda X, quindi, ha due problemi.

1. Solo Revolut può associare con certezza quel nome, quella carta e quel conto a un me anagraficamente identificato e verificato attraverso gli obblighi KYC. Tutto ciò che Azienda X può inferire da sola resta, appunto, un'inferenza.
2. Quello pseudonimo non è nemmeno necessariamente univoco. Magari avete letto questo post, vi piace il nome, e domani cominciano a comparire qua e là decine di Puffo Siffredi, tutti associati a carte, conti e coordinate bancarie differenti.

A quel punto il nome, da solo, perde quasi completamente valore come identificatore. Per trasformarlo in un dato utile bisogna riuscire a stabilire quale di quei Puffo Siffredi corrisponda a quale persona reale.

Dovete cioè capire chi abbia pagato davvero quella cifra. Non vi basta sapere chi siano, anagraficamente, i quattrocentocinquantacinque Puffo Siffredi che compaiono nei sistemi di Revolut — o di qualunque altra azienda consenta di usare carte con un nome esposto diverso dall'identità KYC, come Bunq (che mi ricordi). Dovete stabilire quale di quei Puffo Siffredi abbia effettuato proprio quella transazione, in quel momento, verso quel venditore.

Ed è un problema diverso.

Non state più cercando semplicemente una persona dietro uno pseudonimo: state cercando di collegare in modo affidabile una specifica transazione a una specifica identità reale.

La semplice ricerca online, per quanto penetrante e sofisticata, a questo punto vi mostrerà magari 455 Puffo Siffredi che usano banche online diverse, comprano beni e servizi diversi e lasciano in giro tracce differenti.

Potete correlare dati, incrociare indirizzi, account, acquisti, cookie, email e qualsiasi altra cosa riusciate a raccogliere. Ma continuerete ad avere un problema: non sapete quale di quei Puffo Siffredi sia quello che ha effettuato proprio quella transazione.

Per capirci qualcosa con certezza, adesso avete bisogno dei dati di Revolut. In particolare, avete bisogno del collegamento che soltanto Revolut possiede tra quello strumento di pagamento e l'identità anagrafica verificata mediante KYC.

Non vi basta, quindi, andare su qualche repository raggiungibile via Tor e cercare dati rubati o dump più o meno recenti. Quello che vi serve è un dato molto più forte: il collegamento affidabile tra uno specifico strumento di pagamento e una persona identificata tramite KYC.

E quel dato Revolut non ve lo dà perché glielo chiedete gentilmente: lo fornisce nell'ambito di richieste legittime provenienti dalle autorità competenti.

A questo punto potreste pensare di rubarlo direttamente. Ma qui compare un altro problema: Revolut non è un negozietto con un database MySQL lasciato su Internet. È una banca regolamentata e, proprio per questo, deve sottostare a requisiti piuttosto pesanti di sicurezza informatica.

Il riferimento principale oggi è DORA, il Digital Operational Resilience Act, che impone alle entità finanziarie un vero framework di gestione del rischio ICT: controllo degli accessi, autenticazione forte, cifratura, gestione delle vulnerabilità e delle patch, monitoraggio degli incidenti, continuità operativa, disaster recovery, test periodici di resilienza e controllo del rischio introdotto dai fornitori esterni. A questo si aggiungono gli obblighi del quadro PSD2, soprattutto per quanto riguarda la sicurezza dei servizi di pagamento e l'autenticazione forte del cliente.

Questo non rende Revolut invulnerabile, ovviamente. Ma significa che entrare direttamente nei suoi sistemi, arrivare ai database KYC e uscirne con i dati senza essere scoperti è un attacco parecchio più impegnativo del bucare il sito della pizzeria sotto casa.

C'è quindi un passaggio chiave che, se volete ottenere un'associazione certa, vi costringe in qualche modo a passare per la polizia, o almeno a sembrarlo. E c'è una caratteristica che rende questa strada particolarmente interessante: la possibilità di separare l'identità che la banca conosce attraverso il KYC dall'identità che viene esposta all'esterno.

Revolut permette, per esempio, di personalizzare le proprie carte fisiche aggiungendo testo; bunq arriva esplicitamente a consentire un preferred name sulla carta fisica diverso dal nome legale conservato dalla banca. Non è una caratteristica universale nel settore bancario.

In altre parole, la banca sa perfettamente chi siete, ma ciò che vede chi entra in contatto con quello strumento di pagamento può non essere sufficiente a ricondurlo con certezza alla vostra identità anagrafica.

I miei sospetti, quindi, orbitano proprio attorno a questa feature.

Chi è, a questo punto, Azienda X?

Il problema è che in Italia non è affatto fantascientifico procurarsi, in maniera lecita o illecita, la collaborazione di qualcuno che abbia ancora accesso a banche dati riservate. Le cronache giudiziarie degli ultimi anni hanno mostrato più volte l'esistenza di un vero mercato delle informazioni: appartenenti o ex appartenenti alle forze dell'ordine, investigatori privati, consulenti e intermediari che ottengono dati da sistemi ai quali il pubblico normale non ha accesso e li fanno circolare verso clienti interessati. Nel caso Equalize, per esempio, l'accusa ha ricostruito proprio una rete di questo genere; in un'altra indagine, a Napoli, gli investigatori hanno parlato di circa un milione e mezzo di accessi abusivi e persino di un tariffario per le informazioni estratte da banche dati pubbliche.

Una prima categoria di possibili Aziende X, quindi, è abbastanza intuitiva: società investigative, consulenti o intermediari che abbiano bisogno di informazioni che non riescono a ottenere con gli strumenti ordinari e dispongano di contatti con persone che, invece, possono accedere a quei sistemi.

A volte la collaborazione può essere diretta. Altre volte può assumere forme più ambigue: credenziali custodite male, accessi lasciati disponibili, procedure deliberatamente rilassate, oppure semplicemente qualcuno che utilizza le proprie autorizzazioni per uno scopo diverso da quello per cui gli erano state concesse. Non significa che ogni negligenza nasconda una complicità, naturalmente; significa però che, quando si indaga su un accesso abusivo, distinguere fra errore, negligenza e collaborazione volontaria può diventare parte essenziale dell'inchiesta.

Esistono poi fornitori dello Stato, società di sicurezza, intermediari e aziende che lavorano a stretto contatto con strutture pubbliche. Anche qui, le inchieste recenti mostrano che i confini fra settore pubblico, investigazione privata e mercato delle informazioni possono diventare piuttosto porosi. Nell'inchiesta romana sulla cosiddetta “squadra Fiore”, per esempio, la Procura ha contestato l'esistenza di una struttura che avrebbe acquisito e commercializzato informazioni riservate per conto di imprenditori, professionisti e intermediari finanziari.

Dire chi volesse a tutti i costi i dati di Revolut, al punto da fingersi la polizia, oggi è impossibile: è precisamente una delle cose che dovrà stabilire l'inchiesta.

Ma è difficile non notare che il bersaglio possiede proprio un tipo di informazione che può risultare estremamente preziosa per chi vive di identificazione, profilazione e dossieraggio: la corrispondenza certa fra uno strumento di pagamento e una persona reale verificata mediante KYC.

E Revolut, per di più, offre strumenti che rendono questa corrispondenza meno immediatamente visibile all'esterno.

Per esempio, le carte pseudonime.