Uma nova plataforma na dark web chamada Nexus afirmou estar vendendo 153 milhões de cópias digitalizadas de carteiras de motorista e milhões de outros documentos de identidade e cartões médicos.
Segundo relatos , a coleção incluía mais de 153 milhões de carteiras de motorista, 10 milhões de carteiras de identidade, 3 milhões de documentos de viagem e 579 mil cartões de saúde, incluindo cartões para dispensários de maconha.
O acervo de cópias digitalizadas de carteiras de motoristas divulgado pelo KrebsOnSecurity serve como um forte lembrete de que a verificação de identidade não é um mero exercício burocrático.
O escritório do FBI em Nova Orleans abriu uma investigação sobre uma aparente violação de segurança envolvendo o provedor de verificação de identidade IDScan.net. A empresa afirmou que está investigando o caso.
O site IDScan.net anuncia-se da seguinte forma:
“Oferecemos soluções simples e seguras para ajudar as lojas de cannabis a reduzir a responsabilidade e proteger suas licenças, validando documentos de identidade, incluindo a idade do cliente, em questão de segundos.”
Os registros supostamente expostos eram especialmente preocupantes porque alguns incluíam mais do que uma simples foto de um documento de identidade. O KrebsOnSecurity encontrou registros contendo imagens da frente e do verso, bem como varreduras infravermelhas e ultravioletas, com datas e horários que pareciam coincidir com as atividades de viagem ou aluguel de carros dos titulares.
Isso é importante porque uma carteira de motorista é muito mais útil para um ladrão de identidade do que uma senha. Você pode redefinir uma senha. Não é fácil substituir seu rosto, data de nascimento, endereço ou número da carteira de motorista, principalmente quando essas informações estão acompanhadas de imagens de alta resolução do seu documento de identidade emitido pelo governo.
O problema da verificação de idade
A verificação de idade tornou-se uma justificativa comum para pedir às pessoas que enviem um documento de identidade, tirem uma selfie ou ambos para um provedor terceirizado de verificação de identidade.
Já alertamos anteriormente sobre os riscos e desvantagens em termos de privacidade e segurança nos sistemas de verificação de idade, especialmente aqueles que exigem o envio de cópias de documentos de identidade emitidos pelo governo. Tais sistemas podem transformar uma solicitação de acesso a um site em uma decisão de compartilhar um documento de identidade permanente com uma empresa da qual o usuário talvez nunca tenha ouvido falar.
Na nossa opinião, esse é um risco desproporcional. Assim que alguém carrega um documento de identidade, o serviço ou seu fornecedor pode potencialmente vincular a visita à identidade dessa pessoa. Se o provedor sofrer uma violação de segurança, as consequências podem ir muito além de marketing indesejado ou da exposição de um endereço de e-mail.
Os dados do Nexus apresentados ilustram uma preocupação mais ampla: Identity Os documentos são coletados em diversos locais que as pessoas podem não conectar entre si. Cada conjunto individual pode parecer rotineiro, mas, em conjunto, eles criam um ecossistema em constante expansão de organizações, contratados, plataformas de software, serviços em nuvem e políticas de privacidade.
Imagens faciais e cópias de documentos de identidade podem ser reutilizadas. Criminosos podem usá-las para tornar golpes mais convincentes, burlar verificações de identidade frágeis ou montar perfis detalhados de vítimas a partir de registros obtidos em outras violações de segurança. Um atacante que conhece seu nome, endereço, data de nascimento, e-mail e dados da sua carteira de habilitação tem uma base sólida para cometer fraudes.
Por isso, a frase “só precisamos verificar sua idade” não deve significar automaticamente “por favor, envie sua carteira de motorista” ou outro documento de identidade.
Como se manter seguro
Quando for necessário verificar a identidade para usar um serviço online, faça uma pergunta básica: por que essa empresa precisa de uma cópia do meu documento de identidade e o que acontece com ela depois? A quantidade de dados supostamente oferecida pela Nexus mostra por que a resposta é importante.
Os consumidores nem sempre podem recusar uma verificação de identidade, especialmente quando esta é legalmente exigida ou necessária para um serviço regulamentado. Mas você pode reduzir a exposição desnecessária:
- Pergunte se a imagem do documento de identidade é armazenada e, em caso afirmativo, por quanto tempo.
- Verifique se a empresa utiliza um provedor terceirizado de verificação de identidade.
- Dê preferência a serviços que ofereçam verificação de idade com preservação da privacidade, em vez de exigir o envio de um documento de identidade completo.
- Evite enviar documentos de identidade para sites nos quais você não confia ou que não pretendia usar.
- Não envie cópias de documentos de identidade por e-mail, a menos que não haja alternativa mais segura e você tenha verificado a identidade do destinatário de forma independente.
- Fique atento a tentativas de phishing, golpes de recuperação de conta e solicitações de crédito fraudulentas caso acredite que sua identidade possa ter sido exposta.
- Considere o congelamento de crédito, quando disponível.
Vamos ser sinceros: uma janela anônima tem suas limitações.
Violações de dados, comércio na dark web, fraudes de crédito. Malwarebytes Identity Theft monitora tudo isso, avisa você rapidamente e inclui um seguro contra roubo de identidade.
