I dati KYC restano un bersaglio per gli hacker, dice Coin Center
Coin Center avverte che il KYC obbligatorio centralizza ancora più dati sensibili di identità. Il dibattito tocca anche la verifica zero-knowledge, DeFi e requisiti di compliance più rigidi in Europa.
In breve
- Coin Center avverte che l’identificazione KYC obbligatoria centralizza dati sensibili e per questo crea un bersaglio molto appetibile per gli hacker.
- Un possibile data breach di IDScan.net mostra, secondo l’organizzazione, quanto sia vulnerabile il controllo dell’identità; l’FBI sta indagando sul caso.
- Coin Center chiede verifiche rispettose della privacy che dimostrino solo le informazioni necessarie, senza salvare i dati completi del documento d’identità.
Un nuovo possibile data breach legato a IDScan.net mostra, secondo Coin Center, quanto sia vulnerabile il controllo obbligatorio dell’identità. Su un servizio del dark web sarebbero in vendita più di 153 milioni di dati di patente americani e canadesi, mentre l’FBI sta indagando sulla presunta violazione. Il punto centrale del problema, secondo l’organizzazione, è che i processi KYC raccolgono spesso proprio i dati sensibili che i criminali vogliono ottenere.
Perché il KYC è così vulnerabile
Laz Pieper di Coin Center sostiene che aziende e autorità di vigilanza vogliono contrastare le frodi con il controllo dell’identità, ma allo stesso tempo creano un grande rischio. Quando nomi, indirizzi e documenti d’identità vengono archiviati in modo centralizzato, nasce un bersaglio molto appetibile per gli hacker. Questo vale non solo per le banche, ma anche per soggetti come hotel, società di autonoleggio, casinò e retailer che usano la tecnologia IDScan.
Il testo richiama anche grandi incidenti del passato, come l’hack di Equifax del 2017, che ha colpito quasi 148 milioni di americani. Pieper cita anche il fatto che i codici temporanei via SMS o e-mail sono spesso facili da abusare e che i controlli biometrici sono sotto pressione per via dei rapidi sviluppi dell’AI. Il quadro che ne emerge è che molti controlli attuali raccolgono dati, ma non offrono sempre abbastanza protezione.
Verifica rispettosa della privacy
Coin Center chiede quindi sistemi in cui una persona dimostri solo ciò che serve, invece di consegnare una copia completa di un documento d’identità. Si tratta, per esempio, di provare l’età, l’accesso a un account o un’autorizzazione, senza che i dati sottostanti finiscano direttamente a un’azienda. Questo tipo di verifica rispettosa della privacy è ancora in fase di sviluppo, ma si inserisce in esperimenti più ampi del settore, come la verifica dell’età zero-knowledge e altre forme di identità decentralizzata.
Per i lettori crypto europei questo è rilevante perché il controllo dell’identità si sta estendendo sempre di più anche fuori dagli Stati Uniti, soprattutto verso la verifica dell’età e requisiti di compliance più severi. Allo stesso tempo cresce l’interesse per soluzioni che combinano meglio privacy e verifica, anche dentro DeFi e nei pagamenti transfrontalieri. Questo rende il tema della minimizzazione dei dati importante non solo dal punto di vista legale, ma anche pratico per le aziende crypto e fintech.
Anche all’interno del settore la minimizzazione dei dati resta un tema ricorrente. In un precedente data breach presso un crypto broker, per esempio, è emerso quanto rapidamente dati di identità, informazioni di contatto e dati dei wallet possano finire tutti nelle mani sbagliate.
Più pressione sulle regole
Pieper avverte inoltre che i legislatori a Washington e a livello statale non dovrebbero introdurre obblighi di verifica aggiuntivi dove non servono. Secondo lui, regole del genere aumentano la quantità di dati sensibili archiviati senza risolvere davvero le frodi. Il suo punto finale è semplice: se un servizio non ha bisogno di un’identificazione completa, quei dati non dovrebbero nemmeno essere raccolti.
