Evolve Bank & Trust

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 8 lug 2024 Fuga di dati Critico ● aperto

   Attacco ransomware LockBit: nomi, numeri di previdenza sociale, numeri di conto e dati di contatto di 7.640.112 persone esfiltrati e pubblicati, compresi i clienti delle fintech che operano sulla banca

   Evolve Bank & Trust è una banca americana che non vende quasi nulla al pubblico: lavora dietro le fintech, emette conti e carte per loro conto. Questo incidente riguarda quindi anche persone che non hanno mai sentito il nome «Evolve» e che erano clienti di una app. La cronologia, come la racconta la banca stessa nel proprio avviso ufficiale: gli attaccanti «hanno avuto accesso e scaricato informazioni dei clienti dai nostri database e da una condivisione di file in periodi di febbraio e maggio» 2024. «Alla fine di maggio 2024 Evolve Bank & Trust ha rilevato che alcuni dei suoi sistemi non funzionavano correttamente»: sembrava un guasto hardware, era un'intrusione. La banca dichiara di non aver osservato «nessuna nuova attività non autorizzata dopo il 31 maggio 2024». L'ingresso, ammesso dalla banca, è il più banale che esista: «un dipendente ha inavvertitamente cliccato su un link internet malevolo». L'autore è dichiarato: «è stato un attacco ransomware da parte dell'organizzazione criminale LockBit». Il riscatto non è stato pagato e i dati sono stati pubblicati: a fine giugno 2024 LockBit ha diffuso il materiale rubato, in un primo momento presentandolo come una violazione della Federal Reserve statunitense — una rivendicazione falsa, smentita nei giorni successivi quando si è capito che i dati erano di Evolve. È la ragione per cui questo caso ha avuto molta più visibilità di quanta ne avrebbe avuta altrimenti. I numeri e il perimetro. Nella notifica formale dell'8 luglio 2024 e nelle comunicazioni alle autorità statali risultano 7.640.112 persone coinvolte. I dati esfiltrati, secondo l'avviso della banca, comprendono «nomi, numeri di previdenza sociale, numeri di conto bancario e dati di contatto» per la maggior parte dei clienti retail «così come per i clienti dei nostri partner Open Banking», più informazioni relative ai dipendenti e registrazioni di transazioni ACH; a una parte più piccola di persone è stato esposto anche il numero della carta di debito. Il numero di previdenza sociale è il dato che rende questo caso pesante e non invecchia: non è una password, non si può cambiare. Cosa NON è successo: la banca dichiara che «non c'è evidenza che i criminali abbiano avuto accesso ai fondi dei clienti». Il denaro sui conti non è stato toccato — quello che è uscito sono le identità. Rimedi offerti: notifica individuale agli interessati e due anni di monitoraggio del credito e protezione dal furto d'identità per i residenti negli Stati Uniti, con una linea telefonica dedicata. Perché resta rilevante oggi, a distanza di due anni: i dati sono stati pubblicati, quindi sono in circolazione in modo permanente, e il numero di previdenza sociale di una persona non si revoca. Per un lettore europeo il rischio diretto è basso — il perimetro è statunitense — ma il caso vale come lettura su una cosa che riguarda tutti: quando usi una app finanziaria, i tuoi documenti stanno anche presso la banca dietro l'app, che tu non hai scelto e di cui probabilmente non conosci il nome.

   ↗ fonte
2. 14 giu 2024 Provvedimento di un’autorità Grave ● aperto

   Ordine di cessazione della Federal Reserve e del dipartimento bancario dell'Arkansas: pratiche bancarie «non sicure e non solide» nella gestione delle partnership fintech, antiriciclaggio e tutela del consumatore

   Il 14 giugno 2024 il Consiglio dei governatori della Federal Reserve, insieme al dipartimento bancario dello Stato dell'Arkansas, ha emesso un ordine di cessazione (cease and desist) nei confronti di Evolve Bancorp, Inc. e della sua controllata Evolve Bank & Trust. Non è una multa: è un ordine che impone di correggere e di dimostrare di aver corretto. Il contenuto è il punto. Secondo la Federal Reserve, esami condotti nel 2023 e un controllo di verifica all'inizio del 2024 hanno accertato che la banca «si è impegnata in pratiche bancarie non sicure e non solide, non avendo predisposto un quadro efficace di gestione del rischio» per le proprie partnership con società fintech, e che «non ha mantenuto un programma efficace di gestione del rischio o controlli sufficienti per rispettare le leggi antiriciclaggio» e quelle a tutela dei consumatori. L'ordine impone di rafforzare le politiche interne, la vigilanza e il monitoraggio di quei rapporti e le procedure di tenuta delle registrazioni e di conformità in materia di consumatori. Va letto nel contesto in cui è arrivato, senza confonderlo con quel contesto: nella primavera 2024 il fallimento dell'intermediario tecnologico Synapse — di cui Evolve era una delle banche partner — aveva lasciato per settimane clienti finali di diverse app senza accesso al proprio denaro, per una discordanza dei registri fra le parti. La Federal Reserve precisa che il proprio provvedimento è indipendente dalla procedura concorsuale di Synapse: quell'ordine riguarda il modo in cui la banca governava le proprie partnership, non è l'accertamento di una responsabilità per i soldi bloccati in quella vicenda. Perché riguarda chi legge questo registro: Evolve non è un marchio che si scegli, è l'infrastruttura sotto marchi che si scelgono. Un provvedimento che dice che la banca non controllava adeguatamente i propri partner fintech è, tradotto, un provvedimento sul livello di sorveglianza applicato ai conti e alle carte che quei partner vendevano al pubblico. Stato: non risulta che l'ordine sia stato revocato o terminato. Gli obblighi di conformità sono per loro natura pluriennali e la loro chiusura viene annunciata dall'autorità: fino a quel momento questa voce resta aperta. Non è un incidente «in corso» — non sta succedendo nulla in questo momento — ma non è nemmeno chiuso.

   ↗ fonte

verificato il 26 set 2026