Nowa platforma w darknecie o nazwie Nexus twierdziła, że sprzedaje 153 miliony skanów prawa jazdy i miliony innych dowodów tożsamości i dowodów medycznych.
Według doniesień kolekcja obejmowała ponad 153 miliony praw jazdy, 10 milionów dowodów osobistych, 3 miliony dokumentów podróży i 579 000 kart medycznych, w tym karty uprawniające do sprzedaży marihuany.
Ogromna liczba skanów prawa jazdy zgłoszonych przez KrebsOnSecurity jest jasnym przypomnieniem, że weryfikacja tożsamości to nie tylko niegroźne odhaczanie odpowiednich pól.
Biuro terenowe FBI w Nowym Orleanie wszczęło dochodzenie w sprawie domniemanego naruszenia bezpieczeństwa danych firmy weryfikującej tożsamość IDScan.net. Firma poinformowała o wszczęciu dochodzenia.
IDScan.net reklamuje się następująco:
„Oferujemy proste i bezpieczne rozwiązania, które pomagają punktom sprzedaży detalicznej ograniczyć odpowiedzialność i chronić ich licencje poprzez weryfikację tożsamości, w tym wieku klienta, w ciągu kilku sekund”.
Rzekomo ujawnione dokumenty były szczególnie niepokojące, ponieważ niektóre zawierały coś więcej niż tylko zdjęcie dokumentu tożsamości. KrebsOnSecurity znalazł dokumenty zawierające zdjęcia awersu i rewersu, a także skany w podczerwieni i ultrafiolecie, ze znacznikami czasu, które wydawały się pokrywać z aktywnością posiadacza w zakresie podróży lub wynajmu samochodów.
To ważne, ponieważ prawo jazdy jest o wiele bardziej przydatne dla złodzieja tożsamości niż hasło. Hasło można zresetować. Nie da się łatwo zmienić twarzy, daty urodzenia, adresu ani numeru prawa jazdy, zwłaszcza gdy są one uzupełnione o wysokiej rozdzielczości zdjęciami dokumentu tożsamości wydanego przez organ rządowy.
Problem weryfikacji wieku
Weryfikacja wieku stała się powszechnym uzasadnieniem prośby o przesłanie dokumentu tożsamości, zrobienie sobie selfie lub przesłanie obu tych danych do zewnętrznej firmy zajmującej się weryfikacją tożsamości.
Wcześniej ostrzegaliśmy o kompromisach między prywatnością a bezpieczeństwem w systemach weryfikacji wieku, zwłaszcza tych, które wymagają od użytkowników przesłania kopii dokumentu tożsamości wydanego przez organ rządowy. Takie systemy mogą zamienić prośbę o dostęp do strony internetowej w decyzję o udostępnieniu trwałego dokumentu tożsamości firmie, o której użytkownik mógł nigdy nie słyszeć.
Naszym zdaniem jest to nieproporcjonalne ryzyko. Gdy ktoś prześle identyfikator, usługa lub jej dostawca mogą potencjalnie powiązać wizytę z jego tożsamością. W przypadku naruszenia bezpieczeństwa dostawcy, konsekwencje mogą wykraczać daleko poza niechciany marketing lub ujawnienie adresu e-mail.
Zgłoszony zbiór danych Nexus ilustruje szerszy problem: Identity Dokumenty są gromadzone w wielu miejscach, z których ludzie mogą nie mieć ze sobą kontaktu. Każdy indywidualny zbiór może wydawać się rutynowy, ale razem tworzą stale rozwijający się ekosystem organizacji, kontrahentów, platform oprogramowania, usług w chmurze i polityk prywatności.
Zdjęcia twarzy i kopie dokumentów tożsamości można ponownie wykorzystać. Przestępcy mogą je wykorzystać do uwiarygodnienia oszustw, przejścia przez słabą weryfikację tożsamości lub stworzenia szczegółowych profili ofiar na podstawie danych uzyskanych z różnych włamań. Atakujący, który zna Twoje imię i nazwisko, adres, datę urodzenia, adres e-mail i dane dotyczące prawa jazdy, ma dobrą podstawę do oszustwa.
Dlatego stwierdzenie „musimy tylko potwierdzić Twój wiek” nie powinno automatycznie oznaczać „prześlij swoje prawo jazdy” lub inny dokument tożsamości.
Jak zachować bezpieczeństwo
Gdy do skorzystania z usługi online wymagana jest weryfikacja tożsamości, zadaj sobie proste pytanie: dlaczego ta firma potrzebuje kopii mojego dokumentu tożsamości i co się z nią później dzieje? Skala danych, które rzekomo są udostępniane przez Nexus, pokazuje, dlaczego odpowiedź jest tak ważna.
Konsumenci nie zawsze mogą odmówić sprawdzenia tożsamości, zwłaszcza gdy jest to wymagane prawnie lub konieczne w ramach usługi regulowanej. Możesz jednak ograniczyć niepotrzebne narażenie:
- Zapytaj, czy zdjęcie dowodu osobistego jest przechowywane i jeśli tak, to jak długo.
- Sprawdź, czy firma korzysta z usług zewnętrznego dostawcy usług weryfikacji tożsamości.
- Wybieraj usługi oferujące weryfikację wieku z poszanowaniem prywatności, zamiast wymagać przesłania pełnego dokumentu tożsamości.
- Unikaj udostępniania dokumentów tożsamości w witrynach, którym nie ufasz lub z których nie zamierzasz korzystać.
- Nie wysyłaj kopii dokumentów tożsamości e-mailem, chyba że nie ma bezpieczniejszej alternatywy i niezależnie zweryfikowałeś odbiorcę.
- Jeśli uważasz, że Twoje dane osobowe mogły zostać ujawnione, zachowaj czujność, zwracając uwagę na próby phishingu, oszustwa związane z odzyskiwaniem konta i fałszywe wnioski kredytowe.
- Rozważ zamrożenie kredytu, jeśli jest to możliwe.
Spójrzmy prawdzie w oczy – okno incognito ma swoje ograniczenia.
Naruszenia bezpieczeństwa, handel na dark webie, oszustwa kredytowe. Theft Malwarebytes Identity Theft monitoruje wszystkie te zagrożenia, szybko Cię o nich powiadamia i obejmuje ubezpieczenie od kradzieży tożsamości.
