Il 12 marzo un malfunzionamento nell’app mobile di Lloyds Banking Group ha portato alla visualizzazione non intenzionale di transazioni appartenenti ad altri clienti. Secondo la lettera inviata al Treasury Committee, l’origine dell’evento è stata una modifica IT eseguita tra l’11 e il 12 marzo che ha introdotto un difetto nella logica di aggiornamento dell’API utilizzata dall’app. La banca ha segnalato l’accaduto agli organi competenti, compresa l’Information Commissioner’s Office (ICO), nei termini di legge e ha avviato indagini per comprendere l’impatto effettivo sui clienti e i punti deboli dei processi di test.
Nel rispondere alle richieste del comitato parlamentare, la banca ha fornito cifre e tempistiche precise: fino a 447.936 utenti potrebbero essere stati esposti a transazioni altrui nella finestra temporale interessata e 114.182 clienti hanno cliccato per vedere i dettagli delle transazioni, potenzialmente visualizzando dati sensibili come riferimenti di pagamento e numeri identificativi.
La direzione ha inoltre indicato che, a oggi, non sono stati segnalati casi di perdita finanziaria riconducibile al problema e che il sistema di monitoraggio anti-frode non ha rilevato evidenze di uso malevolo.
Cosa è successo: la dinamica del difetto
Secondo la ricostruzione formale, il problema non è stato causato da un attacco esterno bensì da una anomalia di programmazione introdotta durante un aggiornamento notturno. Il difetto faceva sì che quando più utenti richiedevano in contemporanea la lista delle transazioni, il sistema potesse associare risposte incrociate: in pratica, parti di dati di un cliente venivano restituite ad un altro. Questa sovrapposizione avveniva in piccolissime frazioni di secondo, una finestra temporale sufficiente per visualizzare schermate errate ma non per acquisire un accesso persistente o completo all’account altrui.
La banca ha spiegato che non è mai stato possibile ottenere pieno controllo di un conto terzi.
Il ruolo dell’API e dei test
Il nucleo tecnico del problema è stato identificato nella progettazione del codice che aggiorna l’API dell’app: una componente critica che gestisce le richieste di visualizzazione delle transazioni. Lloyds ha ammesso che i processi di quality assurance e i test non hanno intercettato il difetto, e ha avviato una revisione per capire perché le procedure esistenti non abbiano prevenuto la regressione. A titolo precauzionale, la banca sta rivedendo sia le pratiche di deployment notturno sia le simulazioni di carico che replicano accessi simultanei multipli, con l’obiettivo di rafforzare le barriere tecniche contro scenari di concorrenza di richieste.
Impatto sui clienti e reazioni della banca
Dal punto di vista dei clienti, la banca ha attivato comunicazioni dirette e raccomandazioni: ha chiesto a chiunque avesse eventualmente salvato, fotografato o condiviso informazioni non proprie di eliminarle e di contattare il servizio clienti per ogni dubbio o necessità. Lloyds ha effettuato pagamenti di cortesia per circa £139.000 a favore di 3.625 clienti fino al 23 marzo, a titolo di indennizzo per disagio e preoccupazione, ma non ha effettuato pagamenti per perdite finanziarie poiché non risultano al momento casi accertati di frode collegata all’evento.
Segnalazioni e cooperazione con le autorità
La banca ha notificato l’accaduto ai regolatori competenti: oltre all’ICO, Lloyds ha informato la Financial Conduct Authority (FCA) e altre autorità finanziarie la mattina del 12 marzo.
La collaborazione con il Treasury Committee è proseguita con la fornitura di documentazione e numeri precisi, mentre i responsabili aziendali, tra cui Jasjyot Singh, hanno assicurato che non sono emerse prove di uso fraudolento dei dati. Le comunicazioni pubbliche e le risposte parlamentari indicano che la vicenda sarà monitorata nelle prossime settimane per valutare possibili azioni correttive e miglioramenti normativi.
Conseguenze e lezioni operative
L’incidente mette in luce i rischi associati alla sempre maggiore digitalizzazione dei servizi bancari: la dipendenza da release notturne e da processi automatizzati può amplificare l’impatto di un singolo errore. Il caso di Lloyds illustra l’importanza di testare scenari di concorrenza e di implementare controlli di sicurezza specifici per le API che espongono dati sensibili. Inoltre, la trasparenza nella comunicazione con clienti e regolatori è emersa come elemento cruciale per contenere danni reputazionali e per mantenere la fiducia degli utenti durante la risoluzione dell’incidente.
In conclusione, la banca ha promesso ulteriori aggiornamenti al comitato e ha indicato che intende rivedere le proprie procedure di sviluppo e controllo qualità. La vicenda fornisce uno spunto importante per l’intero settore: anche quando non si riscontrano perdite monetarie immediate, eventi di esposizione dei dati richiedono risposte rapide, revisione dei processi e misure che prevengano il ripetersi di errori simili.
