Uma nova plataforma na dark web chamada Nexus afirmou estar a vender 153 milhões de cópias digitalizadas de cartas de condução e milhões de outros documentos de identidade e cartões médicos.
Segundo consta , a coleção incluía mais de 153 milhões de cartas de condução, 10 milhões de cartões de identidade, 3 milhões de documentos de viagem e 579 mil cartões de saúde, incluindo cartões para dispensários de canábis.
O acervo de cópias digitalizadas de cartas de condução divulgado pelo KrebsOnSecurity serve como um forte lembrete de que a verificação de identidade não é um mero exercício burocrático.
O escritório do FBI em Nova Orleães abriu uma investigação sobre uma aparente violação de segurança envolvendo o fornecedor de verificação de identidade IDScan.net. A empresa afirmou que está a investigar o caso.
O site IDScan.net anuncia-se da seguinte forma:
“Oferecemos soluções simples e seguras para ajudar as lojas de canábis a reduzir a responsabilidade e a proteger as suas licenças, validando documentos de identidade, incluindo a idade do cliente, em questão de segundos.”
Os registos alegadamente expostos eram especialmente preocupantes porque alguns incluíam mais do que uma simples fotografia de um documento de identidade. O KrebsOnSecurity encontrou registos contendo imagens da frente e do verso, bem como varrimentos infravermelhos e ultravioleta, com datas e horas que pareciam coincidir com as atividades de viagem ou aluguer de automóveis dos titulares.
Isto é importante porque uma carta de condução é muito mais útil para um ladrão de identidade do que uma palavra-passe. Pode redefinir uma senha. Não é fácil substituir o rosto, a data de nascimento, a morada ou o número da carta de condução, principalmente quando esta informação é acompanhada de imagens de alta resolução do seu documento de identidade emitido pelo governo.
O problema da verificação da idade
A verificação da idade tornou-se uma justificação comum para pedir às pessoas que enviem um documento de identidade, tirem uma selfie ou ambos para um fornecedor de verificação de identidade terceirizado.
Já alertámos anteriormente para os riscos e desvantagens em termos de privacidade e segurança nos sistemas de verificação de idade, especialmente aqueles que exigem o envio de cópias de documentos de identidade emitidos pelo governo. Tais sistemas podem transformar um pedido de acesso a um website numa decisão de partilhar um documento de identidade permanente com uma empresa da qual o utilizador talvez nunca tenha ouvido falar.
Na nossa opinião, este é um risco desproporcional. Assim que alguém transporta um documento de identidade, o serviço ou o seu fornecedor pode potencialmente ligar a visita à identidade dessa pessoa. Se o fornecedor sofrer uma violação de segurança, as consequências podem ir muito além do marketing indesejado ou da exposição de um endereço de e-mail.
Os dados do Nexus apresentados ilustram uma preocupação mais vasta: Identity Os documentos são recolhidos em diversos locais que as pessoas podem não ligar entre si. Cada conjunto individual pode parecer rotineiro, mas, em conjunto, criam um ecossistema em constante expansão de organizações, contratantes, plataformas de software, serviços de cloud e políticas de privacidade.
As imagens faciais e as cópias de documentos de identidade podem ser reutilizadas. Os criminosos podem usá-las para tornar as burlas mais convincentes, contornar verificações de identidade frágeis ou montar perfis detalhados de vítimas a partir de registos obtidos noutras violações de segurança. Um atacante que conheça o seu nome, morada, data de nascimento, e-mail e dados da sua carta de condução tem uma base sólida para cometer fraudes.
Por este motivo, a frase “só precisamos de verificar a sua idade” não deve significar automaticamente “por favor, envie a sua carta de condução” ou outro documento de identidade.
Como se manter seguro
Quando for necessário verificar a identidade para utilizar um serviço online, faça uma pergunta básica: porque é que esta empresa precisa de uma cópia do meu documento de identidade e o que lhe acontece depois? A quantidade de dados alegadamente oferecida pela Nexus mostra porque é que a resposta é importante.
Os consumidores nem sempre podem recusar uma verificação de identidade, especialmente quando esta é legalmente exigida ou necessária para um serviço regulamentado. Mas pode reduzir a exposição desnecessária:
- Pergunte se a imagem do documento de identidade é guardada e, em caso afirmativo, durante quanto tempo.
- Verifique se a empresa utiliza um fornecedor de verificação de identidade terceirizado.
- Dê preferência a serviços que ofereçam verificação de idade com preservação da privacidade, em vez de exigir o envio de um documento de identidade completo.
- Evite enviar documentos de identidade para sites nos quais não confia ou que não pretendia utilizar.
- Não envie cópias de documentos de identidade por e-mail, a menos que não exista uma alternativa mais segura e tenha verificado a identidade do destinatário de forma independente.
- Esteja atento a tentativas de phishing, fraudes de recuperação de conta e pedidos de crédito fraudulentos, caso acredite que a sua identidade possa ter sido exposta.
- Considere o congelamento de crédito, quando disponível.
Sejamos realistas, uma janela de navegação anónima tem as suas limitações.
Violações de segurança, comércio na dark web, fraude de cartões de crédito. Malwarebytes Identity Theft monitoriza tudo isto, alerta-o rapidamente e inclui um seguro contra roubo de identidade.
