Desjardins è la banca cooperativa del Québec. La più grande credit union del Canada. Un’istituzione che si presenta come di proprietà della comunità, “member first” e radicata nella specifica tradizione cooperativa del Québec, che la distingue dalle grandi banche corporate.

L’istituzione a cui molti residenti del Québec sono invitati a dare fiducia perché è “nostra”. Tra ottobre 2016 e maggio 2019 un dipendente di Desjardins, Sébastien Boulanger‑Dorval, ha rubato sistematicamente le informazioni personali di milioni di membri e clienti di Desjardins. Le ha vendute sui mercati darknet e nei forum di cybercrime.

Per 26 mesi. Prima che Desjardins se ne accorgesse. Desjardins non ha scoperto la violazione attraverso i propri sistemi di sicurezza.

È stato avvisato dalla polizia. I dati rubati comprendevano nomi, date di nascita, numeri di assicurazione sociale, indirizzi di residenza, numeri di telefono, indirizzi email, cronologie delle transazioni e abitudini bancarie. Per quasi 10 milioni di individui.

Come è stato possibile per 26 mesi

L’indagine del Commissario federale alla privacy ha rilevato che la violazione è stata il risultato di una serie di lacune tecnologiche e amministrative in Desjardins. Il dipendente malintenzionato aveva accesso a un magazzino dati di marketing condiviso contenente informazioni sensibili dei membri. Tale accesso non era adeguatamente monitorato.

L’esfiltrazione dei dati per 26 mesi non ha attivato gli avvisi di sicurezza che avrebbero dovuto rilevare attività anomala. Ciò significa che Desjardins aveva i dati finanziari personali di quasi 10 milioni di canadesi in un sistema a cui un solo dipendente del dipartimento marketing poteva accedere, copiare e vendere per più di due anni senza che l’istituzione se ne accorgesse. Il Commissario federale alla privacy e la Commissione d’accès à l’information del Québec hanno concluso che Desjardins non ha mostrato il livello di attenzione richiesto per proteggere i dati dei clienti.

Non si è trattato di un attacco esterno sofisticato. Un dipendente interno. Con accesso standard.

Per 26 mesi. Prima che la polizia glielo comunicasse.

Cosa hanno ricevuto i clienti

Desjardins ha risolto la causa collettiva per $200,9 milioni. Il più grande accordo collettivo nella storia dei servizi finanziari canadesi all’epoca. I clienti che hanno presentato una richiesta hanno ricevuto fino a $90 per il tempo perso.

I clienti che hanno subito furto d’identità potevano richiedere fino a $1 000. Il che significa che a un cliente il cui numero di assicurazione sociale, indirizzo di casa, storico bancario e dettagli personali sono stati venduti sui mercati darknet per quasi due anni è stato offerto un massimo di $1 000 se riusciva a documentare il furto d’identità risultante. Un cliente che ha attraversato il processo di reclamo ha documentato di aver ricevuto $88 per la sua richiesta di Subclass 1.

Successivamente ha ricevuto una richiesta di documentazione da pagare per ottenerla. Ha notato che la documentazione sarebbe costata più dei $88 del pagamento di liquidazione. $201 milioni divisi tra 9,7 milioni di individui colpiti producono circa $20 per persona in media. Prima delle spese legali, che Desjardins ha coperto separatamente.

Il presidente di Desjardins ha dichiarato all’epoca che l’impatto finanziario della violazione rappresentava meno dell’un percento dei $18 miliardi di fatturato annuo dell’istituzione e che Desjardins aveva ampie capacità di assorbirlo. Il che è corretto per Desjardins.

Per il cliente il cui numero di assicurazione sociale è stato venduto su un forum darknet, la capacità di assorbire le conseguenze era diversa.

La cooperativa che ha dimenticato i suoi membri

Desjardins promuove la sua struttura cooperativa come una distinzione fondamentale rispetto al banking corporate. I membri sono proprietari. L’istituzione esiste per servirli.

Il modello cooperativo dovrebbe generare un rapporto diverso tra l’istituzione finanziaria e le persone che le affidano i loro soldi e i loro dati. Il modello cooperativo non ha impedito un furto interno di dati durato 26 mesi che ha coinvolto quasi 10 milioni di membri. Non ha prodotto un’infrastruttura di sicurezza adeguata a rilevare un dipendente che copiava e vendeva i dati dei membri.

Non ha portato a un risarcimento sufficientemente significativo per affrontare le conseguenze del furto d’identità subite dai membri. Ciò che il modello cooperativo ha prodotto è stato un accordo che l’istituzione ha descritto come rappresentante meno dell’un percento del fatturato annuo. Il presidente dell’istituzione lo ha definito “all’interno di un’ampia capacità di assorbimento”.

I membri i cui dati sono stati venduti hanno assorbito qualcosa di diverso.

Il modello istituzionale del Québec

Questa piattaforma ha documentato un pattern ricorrente tra le istituzioni del Québec nelle ultime settimane. Denaro pubblico e fiducia dei membri fluiscono verso le istituzioni. Quelle istituzioni prendono decisioni che danneggiano le persone che servono.

Le conseguenze ricadono su quelle persone. Le istituzioni assorbono il costo finanziario entro i loro margini operativi e continuano. I tassisti i cui permessi sono stati svalutati hanno ricevuto un risarcimento inadeguato, confermato dalla Corte d’Appello.

Gli infermieri spinti fuori dal sistema pubblico a causa delle pessime condizioni di lavoro sono sostituiti a tariffe agenziali premium mentre la carenza persiste. Gli operatori di autobus scolastici, forniti da un monopolista, hanno visto gli autobus prendere fuoco e l’azienda fallire mentre le loro rotte venivano cancellate. I passeggeri del REM che hanno perso le alternative di autobus non hanno avuto trasporto durante le interruzioni del sistema.

I membri di Desjardins i cui dati sono stati venduti per 26 mesi hanno ricevuto $88 e una richiesta di documentazione. La cooperativa, che dovrebbe essere di proprietà dei suoi membri, non ha protetto i dati più sensibili che quei membri le hanno affidato. Quando è stata chiamata a rispondere davanti al sistema legale, ha accettato un importo che il suo CEO ha definito facilmente assorbibile.

I membri hanno assorbito ciò che l’istituzione non poteva sentire.

Nota onesta per chiunque apra un conto aziendale

Desjardins è ancora l’opzione consigliata per il banking delle piccole imprese del Québec, grazie alla sua struttura cooperativa, alle commissioni accessibili e alla presenza locale. La violazione è stata un grave fallimento istituzionale che ha causato danni reali. Ha inoltre prodotto il più grande accordo collettivo di classe nel settore dei servizi finanziari nella storia canadese e ha portato a miglioramenti significativi della sicurezza.

L’istituzione non è intrinsecamente maligna. È una grande realtà che ha fallito nella sicurezza dei dati in modi che le grandi istituzioni sperimentano regolarmente in tutti i paesi. Ciò che rende il caso Desjardins specifico per la documentazione di questa piattaforma sulle istituzioni del Québec è il divario tra ciò che l’istituzione promuove e ciò che ha effettivamente fornito, quando il gap tra marketing e realtà è diventato evidente.

Member first. Cooperative. Community owned. $88 per affected member.

SIIIOCULI — Intelligence. Sovereignty. Awareness. siiioculi.lilxbrxaker.com