Una nuova piattaforma del dark web chiamata Nexus ha affermato di vendere 153 milioni di scansioni di patenti di guida e milioni di altre carte d'identità e sanitarie.
Secondo quanto riportato , la collezione comprendeva oltre 153 milioni di patenti di guida, 10 milioni di carte d'identità, 3 milioni di documenti di viaggio e 579.000 tessere sanitarie, incluse le tessere per i dispensari di marijuana.
La grande quantità di scansioni di patenti di guida segnalate da KrebsOnSecurity è un chiaro monito che la verifica dell'identità non è una semplice formalità burocratica.
L'ufficio dell'FBI di New Orleans ha aperto un'indagine su una presunta violazione dei dati che coinvolge il fornitore di servizi di verifica dell'identità IDScan.net. L'azienda ha dichiarato di aver avviato un'indagine.
IDScan.net si pubblicizza nel modo seguente:
"Offriamo soluzioni semplici e sicure per aiutare i dispensari a ridurre la responsabilità e proteggere le proprie licenze, convalidando i documenti d'identità, inclusa l'età del cliente, in pochi secondi."
I dati presumibilmente esposti destavano particolare preoccupazione perché alcuni contenevano più di una semplice foto di un documento d'identità. KrebsOnSecurity ha trovato documenti contenenti immagini fronte e retro, nonché scansioni a infrarossi e ultravioletti, con timestamp che sembravano coincidere con i viaggi o le attività di noleggio auto dei titolari.
Questo è importante perché la patente di guida è molto più utile a un ladro di identità di una password. Una password si può reimpostare. Non è facile sostituire il proprio volto, la data di nascita, l'indirizzo o il numero di patente, soprattutto se accompagnati da immagini ad alta risoluzione del documento d'identità rilasciato dal governo.
Il problema della verifica dell'età
La verifica dell'età è diventata una giustificazione comune per chiedere alle persone di caricare un documento d'identità, scattarsi un selfie o inviare entrambi a un fornitore di servizi di verifica dell'identità di terze parti.
Abbiamo già messo in guardia sui compromessi tra privacy e sicurezza nei sistemi di verifica dell'età, in particolare quelli che richiedono agli utenti di inviare copie di documenti d'identità rilasciati dal governo. Tali sistemi possono trasformare una richiesta di accesso a un sito web in una decisione di condividere un documento d'identità permanente con un'azienda di cui l'utente potrebbe non aver mai sentito parlare.
A nostro avviso, si tratta di un rischio sproporzionato. Una volta che un utente carica un documento d'identità, il servizio o il suo fornitore possono potenzialmente collegare la visita alla sua identità. In caso di violazione dei dati del fornitore, le conseguenze possono estendersi ben oltre il marketing indesiderato o la divulgazione di un indirizzo email.
I dati di Nexus riportati illustrano una preoccupazione più ampia: Identity I documenti vengono raccolti in molti luoghi che potrebbero non essere collegati tra loro. Ogni singola raccolta può apparire di routine, ma insieme creano un ecosistema in continua espansione di organizzazioni, appaltatori, piattaforme software, servizi cloud e politiche sulla privacy.
Le immagini del viso e le copie dei documenti d'identità possono essere riutilizzate. I criminali possono usarle per rendere le truffe più convincenti, superare controlli di identità deboli o creare profili dettagliati delle vittime a partire da dati ottenuti da violazioni separate. Un malintenzionato che conosce il tuo nome, indirizzo, data di nascita, indirizzo email e dati della patente ha a disposizione una solida base per commettere frodi.
Ecco perché "dobbiamo solo verificare la tua età" non dovrebbe significare automaticamente "per favore carica la tua patente di guida" o un altro documento d'identità.
Come stare al sicuro
Quando per utilizzare un servizio online è richiesto un controllo dell'identità, è bene porsi una domanda fondamentale: perché questa azienda ha bisogno di una copia del mio documento d'identità e cosa ne succede dopo? La mole di dati che, a quanto pare, vengono forniti tramite Nexus dimostra perché la risposta sia importante.
I consumatori non possono sempre rifiutare un controllo dell'identità, soprattutto quando è richiesto dalla legge o necessario per un servizio regolamentato. Tuttavia, è possibile ridurre i rischi inutili:
- Chiedere se viene memorizzata un'immagine del documento d'identità e, in caso affermativo, per quanto tempo.
- Verifica se l'azienda si avvale di un fornitore di servizi di verifica dell'identità di terze parti.
- Preferisci i servizi che offrono una verifica dell'età che tuteli la privacy, piuttosto che richiedere il caricamento di un documento d'identità completo.
- Evitate di inviare documenti di identità a siti di cui non vi fidate o che non intendevate utilizzare.
- Non inviare copie di documenti d'identità via e-mail a meno che non ci siano alternative più sicure e tu abbia verificato autonomamente l'identità del destinatario.
- Fai attenzione al phishing, alle truffe di recupero account e alle richieste di credito fraudolente se ritieni che la tua identità possa essere stata compromessa.
- Valuta la possibilità di bloccare il credito, ove previsto.
Ammettiamolo, una finestra in incognito ha i suoi limiti.
Violazioni dei dati, commercio sul dark web, frodi creditizie. Malwarebytes Identity Theft monitora tutto questo, ti avvisa immediatamente e include un'assicurazione contro il furto d'identità.
