Quando un'identità rubata diventa una prova: CashApp se ne assuma la colpa

Come si chiama un sistema in cui la persona a cui è stata rubata l'identità deve dimostrare di non essere stata lei, mentre l'azienda che custodisce le prove le dice che non può vederle perché non riesce a dimostrare che il conto è suo? Efficiente, se sei l'azienda. Kafkiano, se sei lei.

È la situazione descritta da 404 Media. Un pomeriggio di aprile Amanda Smith ha aperto la porta e si è trovata davanti l'ufficio dello sceriffo del nord della Pennsylvania. Avevano un mandato per frode informatica, per qualcosa che sarebbe stato commesso in Arkansas, un posto in cui dice di non essere mai stata. Ha passato tre notti in carcere.

Secondo il resoconto, un truffatore ha convinto qualcuno su Facebook Marketplace a inviare 1.000 dollari a un conto CashApp che controllava lui. Il conto è stato aperto con il numero di previdenza sociale e la data di nascita di Smith. Lei dice di non aver mai usato CashApp. Sei mesi dopo il caso è ancora aperto e CashApp, a quanto si riferisce, si rifiuta di darle qualsiasi informazione sul conto perché non ha potuto dimostrare di esserne la titolare. Tutto questo è la sua versione dei fatti così come riportata; non abbiamo visto gli atti d'accusa.

Un'identità è un'affermazione, non una prova

L'errore di fondo è trattare due dati, un numero di previdenza sociale e una data di nascita, come se fossero la persona. Non lo sono. Sono cose che si possono conoscere, comprare o rubare. Se un'app le ritiene sufficienti per aprire un conto che muove denaro, prende una decisione commerciale: poco attrito, più iscrizioni. Va bene, finché l'attrito eliminato non ricade su qualcun altro.

E qui è ricaduto su Smith. Il controllo di iscrizione della piattaforma, a quanto pare, è bastato ad aprire il conto, ma non a far credere a Smith quando dice che non è suo. A nostro avviso questa asimmetria è tutta la storia. L'azienda si è fidata dell'identità quando le faceva comodo e diffida della persona reale quando fa domande.

Il circolo vizioso è una scelta di progettazione

Guarda il circolo. Per vedere i dati del conto deve dimostrare di esserne la titolare. Non lo è, ed è proprio questa la sua difesa. Così l'unico documento che potrebbe aiutarla a scagionarsi, come il modo in cui è stato aperto o il luogo da cui vi si è acceduto, resta fuori dalla sua portata. Le norme sulla privacy esistono per buone ragioni, ma una politica che in un procedimento penale lascia fuori la persona il cui nome è sul conto non ne protegge la privacy. Protegge la procedura dell'azienda.

Anche la procura merita la sua parte di attenzione. Un mandato di arresto emesso tra stati diversi per una donna che, stando al suo racconto, non è mai stata vicino al luogo dei fatti suggerisce che un nome su un conto sia stato trattato come un legame solido. Pensiamo che la lettura sensata di un caso che riguarda un'app di pagamento dovrebbe cominciare con la domanda: «Potrebbe essere un furto d'identità?». Non è nulla di esotico in un mondo in cui, come dice la pagina sulla sicurezza della stessa Cash App, le truffe basate sulla sostituzione di persona sono il tipo di frode più segnalato alla FTC.

Chi dovrebbe sostenere l'onere

Le indicazioni di Cash App spiegano agli utenti che le truffe funzionano perché sono progettate per aggirare l'istinto delle persone e che cadere in una non rende ingenui. Siamo d'accordo. Ma la stessa logica dovrebbe valere anche verso l'alto. Smith non è caduta in nessuna trappola. Non ha nemmeno usato il prodotto. Se un racconto sulla prevenzione delle frodi dà tanto peso alla vigilanza degli utenti, non può anche dire a chi non si è mai iscritto che avrebbe dovuto evitarlo.

Com'è una regola equa? La nostra proposta, come opinione e non come legge: quando a una piattaforma viene segnalato che un conto potrebbe essere stato aperto con credenziali rubate, dovrebbe essere obbligata a conservare i registri e a condividerli rapidamente con la persona indicata e con gli investigatori, e a segnalare alle forze dell'ordine che il furto d'identità è plausibile. Le aziende che traggono profitto da un'iscrizione facile dovrebbero finanziare il costo di verificare chi c'è davvero dietro un conto e farsi carico del costo quando non lo fanno.

Verdetto

Il caso di Smith riguarda un solo conto e non sappiamo come finirà. Ma se ne parla per una ragione: quasi chiunque lo legga può immaginare il proprio numero di previdenza sociale nel modulo di iscrizione di qualcun altro. Finché le app di pagamento non saranno ritenute responsabili di chi lasciano entrare, il sospettato più economico continuerà a essere il nome sul conto. È il mondo al contrario. Chi ha progettato la porta deve rispondere di chi la attraversa.