Violazione Ryde: 4,5 milioni di account in Norvegia, Svezia, Finlandia e Germania

La violazione dei dati di Ryde ha raggiunto ogni singolo cliente del servizio di noleggio monopattini. Circa 4,5 milioni di account in Norvegia, Svezia, Finlandia e Germania sono stati copiati dai suoi sistemi nella notte tra sabato e domenica 2 agosto 2026, di cui circa 1,6 milioni nella sola Norvegia. Ryde non contesta la portata: nelle sue stesse parole, riguarda chiunque abbia un account.

Che cosa dice Ryde

Secondo il comunicato dell'azienda, soggetti non autorizzati hanno raggiunto i sistemi nella notte tra il 1 e il 2 agosto e hanno copiato dati dei clienti prima che l'accesso venisse chiuso. Ryde afferma di aver poi chiuso i punti di ingresso individuati, ricostruito i sistemi coinvolti e sostituito password e chiavi crittografiche. L'incidente è stato segnalato a Datatilsynet, l'autorità norvegese per la protezione dei dati, e alla polizia.

L'amministratore delegato Tobias Balchen ha detto a NRK che persone non autorizzate hanno ottenuto accesso e copiato determinate informazioni sui clienti, e che questo riguarda chiunque abbia un account. Ha aggiunto che l'azienda non ha alcuna indicazione su chi ci sia dietro e non ha ricevuto né richieste di pagamento né minacce. Quest'ultimo punto va tenuto a mente, perché rassicura meno di quanto sembri: un archivio di dati personali rubato senza riscatto ha più probabilità di essere venduto o semplicemente pubblicato.

Che cosa è uscito e che cosa no

Sono usciti numeri di telefono, indirizzi email, date di nascita, le prime sei e le ultime quattro cifre delle carte di pagamento, lo storico dei pagamenti relativo a corse, acquisti e commissioni, e il luogo in cui l'account è stato creato. Per una parte dei clienti si aggiungono nome e indirizzo non verificati.

Due cose non sono uscite, ed entrambe contano. I numeri completi delle carte sono conservati dal fornitore di pagamento e non da Ryde, quindi non serve bloccare la carta. E lo storico degli spostamenti non è coinvolto: l'azienda scrive che non ci sono indizi che siano stati toccati i dati su dove avete circolato. Se avete letto un riassunto secondo cui sono usciti i percorsi, quel riassunto era sbagliato. È uscita la traccia del denaro, non la mappa dei vostri spostamenti.

Perché contano le prime sei cifre

Le prime sei cifre di una carta sono il codice identificativo dell'emittente. Non sono segrete, ma indicano quale banca ha emesso la carta. Insieme alle ultime quattro, cioè esattamente ciò che una banca stampa sull'estratto conto, permettono di scrivervi nominando la vostra banca e la parte finale visibile della vostra stessa carta.

Aggiungete una data di nascita, un numero di telefono e uno storico dei pagamenti che mostra quanto avete speso davvero e quando, e il messaggio smette di sembrare spam. Ecco perché una violazione in un'app di monopattini diventa un problema bancario: all'attaccante non servono i sistemi della vostra banca, ma solo abbastanza dettagli per suonare come lei.

Il problema di BankID e dei codici bancari

Il consiglio della stessa Ryde è quello giusto e va ripetuto per intero: non comunicate mai password, codici bancari o credenziali BankID a chi vi contatta, per quanto credibile possa sembrare. In Norvegia e Svezia BankID non è solo un accesso, è una firma giuridicamente vincolante. Chi vi guida attraverso una conferma BankID può spostare denaro e stipulare contratti a vostro nome. In Finlandia lo stesso ruolo lo hanno le credenziali di home banking della Finnish Trust Network, in Germania la conferma TAN nell'app bancaria.

I numeri di telefono usciti tirano dentro anche le app di pagamento collegate al numero. Vipps in Norvegia, Swish in Svezia e MobilePay in Finlandia funzionano proprio sul numero di cellulare, l'unico identificatore che questa violazione ha consegnato per ogni singolo cliente. Una richiesta di pagamento che arriva in una di queste app non ha intestazioni email da ispezionare né link su cui passare il mouse, e atterra dove le persone sono abituate ad approvare in fretta.

Lo schema da attendersi è una telefonata o un messaggio che parte da dettagli che solo la vostra banca dovrebbe conoscere, crea urgenza attorno a un pagamento sospetto e finisce chiedendovi di confermare qualcosa. Nessuna banca, nessuna polizia e nessuna azienda ha mai bisogno che dettiate un codice o approviate una conferma d'identità che non avete avviato voi. Se una chiamata prende quella piega, la risposta corretta è riagganciare e chiamare il numero stampato sulla vostra carta.

Cosa fare in Norvegia, Svezia, Finlandia e Germania

• Non bloccate la carta: i numeri completi non sono usciti. Il blocco crea seccature senza ridurre il rischio reale, che è l'ingegneria sociale.
• Trattate come ostile qualsiasi contatto su questa violazione finché non è provato il contrario: gli attaccanti leggono le stesse notizie che leggete voi, e la prima ondata di phishing dopo una violazione pubblica porta di solito il nome dell'azienda colpita.
• Guardate gli importi piccoli, non quelli grandi: gli addebiti di prova sono volutamente insignificanti, e lo storico dei pagamenti uscito da questa violazione dice a un attaccante quale cifra è normale per voi.
• Cambiate la password se la riutilizzavate: Ryde dice di aver sostituito le password dalla sua parte, ma se la stessa apre la vostra email, è quell'account da sistemare oggi.
• Sapere dove reclamare: Ryde è norvegese, quindi Datatilsynet è l'autorità capofila per l'intero caso. Chi risiede in Svezia può rivolgersi all'IMY, in Finlandia all'ufficio del Garante per la protezione dei dati, in Germania all'autorità del proprio Land; per le regole dello sportello unico ciascuna trasmette all'autorità capofila.
• Sorvegliate il telefono, non solo la posta: i numeri sono usciti insieme al resto, e questo mette in gioco SMS, chiamate e richieste di pagamento in Vipps, Swish o MobilePay, nessuna delle quali passa da un filtro email.

Perché riguarda anche chi non usa monopattini

Un'app di monopattini è una piccolezza a cui ci si iscrive di sfuggita, e alla fine conteneva una data di nascita, un numero di telefono, un identificativo bancario e un registro di spese. È il costo reale del comodo strato "accedi con il numero di telefono" su cui poggia gran parte dei servizi di mobilità urbana, ed è la stessa aritmetica dietro le credenziali finite in un database aperto con 24 miliardi di password trapelate e dietro la violazione di un database giuridico della polizia britannica. Sui limiti onesti: una VPN non avrebbe impedito nulla di tutto questo, perché i dati sono stati presi dai server dell'azienda e non dalla vostra connessione. Dove gli strumenti di privacy di rete aiutano è la fase successiva, perché filtraggio DNS e blocklist impediscono a buona parte delle pagine di phishing di caricarsi, e dare a un servizio meno dati veri riduce ciò che una violazione futura potrà portarsi via.

Conclusione