Новая платформа в даркнете под названием Nexus заявила о продаже 153 миллионов сканированных водительских удостоверений и миллионов других удостоверений личности и медицинских карт.
Согласно сообщениям , в коллекцию вошли более 153 миллионов водительских удостоверений, 10 миллионов удостоверений личности, 3 миллиона проездных документов и 579 000 медицинских карт, включая карты для приобретения марихуаны в аптеках.
Представленная KrebsOnSecurity подборка сканированных водительских удостоверений — это суровое напоминание о том, что проверка личности — это не безобидная формальная процедура.
Филиал ФБР в Новом Орлеане начал расследование предполагаемого нарушения безопасности данных, связанного с компанией IDScan.net, предоставляющей услуги по проверке личности. Компания заявила, что проводит расследование.
IDScan.net размещает следующую рекламу:
«Мы предлагаем простые и безопасные решения, которые помогают аптекам снизить риски и защитить свои лицензии, проверяя удостоверения личности, включая возраст клиента, за считанные секунды».
Предположительно, скомпрометированные записи вызывали особую обеспокоенность, поскольку некоторые из них содержали не только простую фотографию удостоверения личности. KrebsOnSecurity обнаружил записи, содержащие изображения лицевой и оборотной сторон, а также инфракрасные и ультрафиолетовые сканы, с отметками времени, которые, по-видимому, совпадали с поездками или использованием автомобилей владельцами.
Это важно, потому что водительское удостоверение гораздо полезнее для мошенника, занимающегося кражей личных данных , чем пароль. Пароль можно сбросить. Заменить лицо, дату рождения, адрес или номер водительского удостоверения, особенно если они сопровождаются изображениями высокого разрешения вашего удостоверения личности, выданного государственными органами, не так-то просто.
Проблема подтверждения возраста
Проверка возраста стала распространенным оправданием для просьбы к людям загрузить удостоверение личности, сделать селфи или отправить и то, и другое сторонней организации, предоставляющей услуги по проверке личности.
Ранее мы уже предупреждали о компромиссах между конфиденциальностью и безопасностью в системах проверки возраста, особенно в тех, которые требуют от пользователей предоставления копий удостоверений личности, выданных государственными органами. Такие системы могут превратить запрос на доступ к веб-сайту в решение о предоставлении долговременного документа, удостоверяющего личность, компании, о которой пользователь, возможно, никогда не слышал.
На наш взгляд, это несоразмерный риск. Как только кто-то загружает свой идентификатор, сервис или его поставщик потенциально могут связать посещение с его личностью. Если произойдет взлом системы поставщика услуг, последствия могут выходить далеко за рамки нежелательной маркетинговой рассылки или раскрытия адреса электронной почты.
Представленный набор данных Nexus иллюстрирует более широкую проблему: Identity Документы собираются во многих местах, которые могут быть не связаны друг с другом. Каждая отдельная коллекция может восприниматься как нечто обыденное, но вместе они создают постоянно расширяющуюся экосистему организаций, подрядчиков, программных платформ, облачных сервисов и политик конфиденциальности.
Изображения лиц и копии удостоверений личности могут быть использованы повторно. Преступники могут использовать их, чтобы сделать мошенничество более убедительным, пройти слабые проверки личности или составить подробные профили жертв на основе данных, полученных в результате отдельных утечек. Злоумышленник, знающий ваше имя, адрес, дату рождения, адрес электронной почты и данные водительского удостоверения, имеет удобную основу для мошенничества.
Вот почему фраза «нам нужно лишь подтвердить ваш возраст» не должна автоматически означать «пожалуйста, загрузите ваше водительское удостоверение» или другой документ, удостоверяющий личность.
Как оставаться в безопасности
Когда для использования онлайн-сервиса требуется проверка личности, задайте простой вопрос: зачем этой компании нужна копия моего удостоверения личности, и что с ней происходит после этого? Масштаб данных, которые, как сообщается, предоставляет Nexus, показывает, почему ответ на этот вопрос имеет значение.
Потребители не всегда могут отказаться от проверки документов, удостоверяющих личность, особенно если это требуется по закону или необходимо для предоставления регулируемой услуги. Но вы можете уменьшить ненужный риск:
- Уточните, хранится ли изображение удостоверения личности и, если да, то в течение какого времени.
- Проверьте, использует ли компания стороннего поставщика услуг по проверке личности.
- Отдавайте предпочтение сервисам, которые предлагают проверку возраста с сохранением конфиденциальности, а не требуют полной загрузки документов, удостоверяющих личность.
- Избегайте отправки документов, удостоверяющих личность, на сайты, которым вы не доверяете или которые не собирались использовать.
- Не отправляйте копии удостоверений личности по электронной почте, если нет более безопасной альтернативы и вы самостоятельно не проверили личность получателя.
- Будьте бдительны в отношении фишинга, мошеннических схем восстановления учетных записей и мошеннических заявок на кредит, если вы считаете, что ваши личные данные могли быть скомпрометированы.
- Рассмотрите возможность заморозки кредитных средств, если такая возможность существует.
Давайте посмотрим правде в глаза: окно в режиме инкогнито имеет свои ограничения.
Утечки данных, торговля в даркнете, мошенничество с кредитными картами. Malwarebytes Identity Theft отслеживает все эти угрозы, оперативно предупреждает вас и включает в себя страховку от кражи личных данных.
