Una nueva plataforma de la web oscura llamada Nexus afirmaba estar vendiendo 153 millones de escaneos de licencias de conducir y millones de otras tarjetas de identidad y médicas.
Según los informes , la colección incluía más de 153 millones de licencias de conducir, 10 millones de tarjetas de identificación, 3 millones de documentos de viaje y 579.000 tarjetas médicas, incluidas tarjetas para dispensarios de marihuana.
La gran cantidad de escaneos de licencias de conducir reportados por KrebsOnSecurity es un claro recordatorio de que la verificación de identidad no es un simple trámite burocrático.
La oficina del FBI en Nueva Orleans ha abierto una investigación sobre una aparente filtración de datos que involucra al proveedor de verificación de identidad IDScan.net. La compañía declaró que está investigando el caso.
IDScan.net se anuncia de la siguiente manera:
“Ofrecemos soluciones sencillas y seguras para ayudar a los dispensarios a reducir su responsabilidad y proteger sus licencias mediante la validación de documentos de identidad, incluida la edad del cliente, en cuestión de segundos.”
Los documentos supuestamente expuestos resultaban especialmente preocupantes porque algunos incluían más que una simple foto del documento de identidad. KrebsOnSecurity encontró registros con imágenes del anverso y el reverso, así como escaneos infrarrojos y ultravioleta, con marcas de tiempo que parecían coincidir con los viajes o la actividad de alquiler de coches de los titulares.
Eso es importante porque una licencia de conducir es mucho más útil para un ladrón de identidad que una contraseña. Puedes restablecer una contraseña. No puedes reemplazar fácilmente tu rostro, fecha de nacimiento, dirección o número de licencia, especialmente cuando van acompañados de imágenes de alta resolución de tu documento de identidad oficial.
El problema de la verificación de edad
La verificación de edad se ha convertido en una justificación común para pedir a las personas que suban una identificación, se tomen una selfie o envíen ambas cosas a un proveedor externo de verificación de identidad.
Ya hemos advertido sobre los riesgos para la privacidad y la seguridad que implican los sistemas de verificación de edad, especialmente aquellos que requieren que los usuarios presenten copias de documentos de identidad oficiales. Estos sistemas pueden convertir una solicitud de acceso a un sitio web en la decisión de compartir un documento de identidad permanente con una empresa que el usuario quizás desconozca por completo.
En nuestra opinión, se trata de un riesgo desproporcionado. Una vez que alguien sube su identificación, el servicio o su proveedor pueden vincular la visita a su identidad. Si el proveedor sufre una brecha de seguridad, las consecuencias pueden ir mucho más allá del marketing no deseado o la exposición de una dirección de correo electrónico.
El conjunto de datos Nexus publicado ilustra una preocupación más amplia: Identity Los documentos se recopilan en muchos lugares que las personas pueden no tener conexión entre sí. Cada recopilación individual puede parecer rutinaria, pero en conjunto crean un ecosistema en constante expansión de organizaciones, contratistas, plataformas de software, servicios en la nube y políticas de privacidad.
Las imágenes faciales y las copias de documentos de identidad pueden reutilizarse. Los delincuentes pueden usarlas para que las estafas sean más convincentes, superar controles de identidad débiles o crear perfiles detallados de las víctimas a partir de registros obtenidos en filtraciones de datos. Un atacante que conoce tu nombre, dirección, fecha de nacimiento, correo electrónico y datos de tu licencia de conducir tiene una base sólida para cometer fraude.
Por eso, “solo necesitamos verificar su edad” no debería significar automáticamente “por favor, suba su licencia de conducir” u otro documento de identificación.
Cómo mantenerse seguro
Cuando se requiere una verificación de identidad para usar un servicio en línea, hágase una pregunta básica: ¿Por qué esta empresa necesita una copia de mi documento de identidad y qué sucede con él después? La magnitud de los datos que, según se informa, ofrece Nexus demuestra por qué la respuesta es importante.
Los consumidores no siempre pueden negarse a que se les verifique su identidad, especialmente cuando es un requisito legal o necesario para un servicio regulado. Pero usted puede reducir la exposición innecesaria:
- Pregunte si se almacena una imagen de identificación y, en caso afirmativo, durante cuánto tiempo.
- Comprueba si la empresa utiliza un proveedor externo de verificación de identidad.
- Es preferible utilizar servicios que ofrezcan una verificación de edad que preserve la privacidad, en lugar de exigir la carga de un documento de identidad completo.
- Evite enviar documentos de identidad a sitios web en los que no confíe o que no tuviera intención de utilizar.
- No envíe copias de documentos de identidad por correo electrónico a menos que no exista una alternativa más segura y haya verificado de forma independiente la identidad del destinatario.
- Manténgase alerta ante posibles intentos de phishing, estafas de recuperación de cuentas y solicitudes de crédito fraudulentas si cree que su identidad puede haber sido expuesta.
- Considere la posibilidad de congelar su crédito, si está disponible.
Seamos realistas, una ventana de incógnito tiene sus limitaciones.
Filtraciones de datos, comercio en la dark web, fraude crediticio. Malwarebytes Identity Theft supervisa todo ello, te avisa rápidamente y incluye un seguro contra el robo de identidad.
