SoFi

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 29 dic 2025 Fuga di dati Grave ✓ risolto

   Social engineering sui sistemi interni della banca: nome, data di nascita, contatti e dati di impiego di almeno 38.049 clienti esfiltrati fra il 31 dicembre e il 3 gennaio — totale nazionale mai dichiarato

   La fonte è la notifica di violazione che SoFi stessa ha depositato presso la Procura generale dello Stato di Washington il 26 gennaio 2026, firmata da Valerie Franch, Associate General Counsel, Privacy, «a nome di SoFi Bank, N.A. e Social Finance, LLC». Testo ufficiale: «Intorno al 2 gennaio 2026 SoFi ha scoperto attività non autorizzata nei suoi sistemi, avvenuta come risultato di social engineering». Non un exploit tecnico, quindi: qualcuno si è fatto dare l'accesso. Cosa è stato preso, con le parole della notifica: «nome, indirizzo, indirizzo email, numeri di telefono, data di nascita e informazioni su impiego e istruzione di circa 38.049 residenti dello Stato» sono stati «acquisiti dall'attore non autorizzato». Cosa NON è stato preso, e SoFi lo mette per iscritto anche nella lettera ai clienti: «questo truffatore non ha mai avuto accesso alla tua password, ai numeri di conto o ai numeri della carta di debito/credito». Nessun conto compromesso e, alla data della notifica, «nessuna segnalazione di frode, furto d'identità o compromissione di conti» collegata all'incidente. ⚠️ Il numero da leggere bene: 38.049 è il conteggio dei soli residenti dello Stato di Washington, perché è l'unico che la legge di quello Stato obbliga a dichiarare. **SoFi non ha mai reso pubblico un totale nazionale.** In rete circolano stime fra 500.000 e 1,6 milioni di clienti: non vengono da SoFi né da una testata riconosciuta e per questo non sono scritte qui come fatto. Il dato certo è 38.049 in un solo Stato, e l'ordine di grandezza complessivo resta non dichiarato. Tempi, dal registro ufficiale della Procura generale: accesso non autorizzato fra il 29 dicembre 2025 e il 2 gennaio 2026, dati esfiltrati fra il 31 dicembre e il 3 gennaio, notifica il 26 gennaio — entro i 30 giorni previsti. «Nessuna attività non autorizzata è stata osservata dopo il 3 gennaio 2026». SoFi dichiara di aver ingaggiato CrowdStrike e altri consulenti esterni e di aver informato le forze dell'ordine; alla clientela ha applicato «monitoraggio aggiuntivo e altre tutele» sui conti, con la conseguenza pratica che può chiedere informazioni in più a chi contatta l'assistenza o prova a modificare il conto. 📌 Una cosa che manca, e si nota: la notifica **non offre un servizio di monitoraggio del credito** ai colpiti. L'allegato si limita alle istruzioni generiche su come ottenere da sé il referto creditizio gratuito e come attivare un fraud alert o un blocco presso Equifax, Experian e TransUnion. Su una violazione che espone data di nascita e dati di impiego è una scelta che l'utente paga di tasca propria.

   ↗ fonte
2. 30 apr 2026 Fuga di dati Moderato ● aperto

   Accesso non autorizzato a un database della controllata SoFi Securities (Hong Kong) tramite un fornitore terzo: fornitore, numero di clienti e categorie di dati mai dichiarati

   ⚠️ Perimetro prima di tutto: questa violazione riguarda **SoFi Securities (Hong Kong) Limited**, la controllata che offre servizi di investimento e intermediazione alla clientela dell'area asiatica, non la neobank statunitense descritta in questa scheda — che opera solo negli USA. È qui perché è il secondo incidente di sicurezza confermato dal gruppo in quattro mesi, non perché tocchi gli utenti del conto americano. I fatti: SoFi ha confermato un accesso non autorizzato a un database di SoFi Securities (Hong Kong) Limited avvenuto **attraverso un fornitore terzo**. La scoperta è datata 30 aprile 2026; la notifica ai clienti e la copertura stampa arrivano all'8 giugno 2026. L'azienda ha dichiarato di aver ingaggiato professionisti esterni di cybersicurezza e ha raccomandato ai clienti di attivare l'autenticazione a due fattori, controllare i conti e restare attenti ai tentativi di phishing. Quello che non è stato detto è la parte più rilevante, e va registrato come tale: SoFi **non ha reso noto il nome del fornitore**, **non ha dichiarato quanti clienti siano stati coinvolti**, non ha elencato le categorie di dati esposte e ha rifiutato di rispondere ad altre domande. Al momento della divulgazione dichiarava: «Non abbiamo ancora informazioni complete sulla portata e sull'impatto dell'incidente». Non risulta pubblicato in seguito alcun conteggio definitivo, e nemmeno la data di inizio dell'accesso non autorizzato: per questo la data in scheda è quella della **scoperta**, l'unica certa. L'incidente resta aperto per questo motivo, non perché sia in corso qualcosa adesso: senza un numero e senza le categorie di dati, un cliente di Hong Kong non ha gli elementi per sapere se è fra i coinvolti.

   ↗ fonte

verificato il 1 ott 2026