اختراق IDScan استمر عامًا كاملًا ولم يلاحظه أحد
تظهر تفاصيل جديدة حول اختراق بيانات IDScan تشير إلى أن الحادثة كانت أكثر خطورة بكثير من مجرد اختراق سريع لمرة واحدة. وفقًا للتقارير، يبدو أن شركة التحقق من الهوية قد تعرضت للاختراق لمدة عام كامل، حيث كان المهاجمون يسحبون رخص القيادة بهدوء في الوقت الفعلي أثناء تحميلها إلى النظام. بدلًا من سرقة لمرة واحدة لقاعدة بيانات ثابتة، يبدو هذا وكأنه خط أنابيب حي ومستمر لوثائق الهوية المسروقة يتدفق من خوادم IDScan لمدة اثني عشر شهرًا قبل أن يكتشف أحد الأمر.
هذه التفاصيل مهمة. فهي تعني أن كل رخصة تم مسحها ضوئيًا أو التحقق منها أو تخزينها بواسطة IDScan خلال تلك الفترة، سواء للتحقق من العمر لدى بائع تجزئة أو منصة إلكترونية أو خدمة أخرى تعتمد على أدوات الشركة، ربما تم التقاطها من قبل المتسللين فور دخولها إلى قاعدة البيانات تقريبًا. كما أوردنا سابقًا، ظهر سوق على الويب المظلم يعرض عمليات مسح مرتبطة بنحو 153 مليون رخصة قيادة من الولايات المتحدة وكندا، يُزعم أنها مصدرها هذا الاختراق بالتحديد.
لماذا الاختراق "المباشر" أسوأ من الاختراق اللحظي
معظم اختراقات البيانات التي تصدر العناوين تنطوي على حدث استخراج واحد: يقتحم المهاجمون النظام، ينسخون قاعدة بيانات، ويغادرون. وضع IDScan الموصوف هنا مختلف. إذا كان المتسللون يتمتعون بوصول مستمر لمدة عام، فهذا يشير إلى أنهم لم يكونوا يسرقون فقط سجلات قديمة مخزنة في النظام. بل كانوا يلتقطون وثائق جديدة بينما يقدمها أشخاص حقيقيون للتحقق من العمر أو الهوية، يومًا بعد يوم، شهرًا بعد شهر.
هذا النوع من الوصول المستمر يشير عادةً إلى اختراق أعمق من مجرد خادم تم ضبطه بشكل خاطئ أو بيانات اعتماد مسروقة واحدة. إنه يثير تساؤلات حول المدة التي مرت دون اكتشاف الاختراق وما هي المراقبة، إن وجدت، التي كانت قائمة لرصد تدفقات البيانات غير المعتادة الخارجة من نظام يتعامل مع هذا القدر الكبير من المعلومات الشخصية الحساسة. تواجه IDScan الآن دعاوى قضائية متعددة بسبب الاختراق المزعوم، كما هو مفصل في تغطيتنا السابقة للتداعيات القانونية، ومن المرجح أن يكون حجم الحادثة ومدتها عاملين مهمين في تلك القضايا.
الصورة الأكبر لخدمات التحقق من العمر
شركات التحقق من العمر مثل IDScan تقع في تقاطع غير مريح: فهي موجودة خصيصًا لجمع والتحقق من وثائق الهوية الصادرة عن الحكومة، غالبًا لمنصات لديها التزامات قانونية لتأكيد عمر المستخدم. هذا النموذج التجاري يعني أن هذه الشركات تتراكم لديها كميات هائلة من رخص القيادة وجوازات السفر ومعرفات حساسة أخرى، مما يجعلها أهدافًا عالية القيمة للمجرمين الإلكترونيين.
اختراق IDScan هو تذكير بأن الدفع المتزايد نحو التحقق من العمر عبر المواقع الإلكترونية والتطبيقات وتجار التجزئة يأتي مع مقايضة حقيقية. في كل مرة يتم فيها مسح رخصة قيادة لإثبات أن شخصًا ما كبير بما يكفي لشراء شيء ما أو الوصول إلى خدمة، يتم تخزين تلك الوثيقة ومعالجتها وربما تعريضها للخطر في مكان ما داخل نظام جهة خارجية لا يملك المستخدم النهائي أي رؤية عنه. اختراق لمدة عام دون اكتشاف في شركة بُنيت خصيصًا لحماية هذا النوع من البيانات يضعف الحجة القائلة بأن التحقق المركزي من العمر أكثر أمانًا بطبيعته من البدائل.
ماذا يعني هذا بالنسبة لك
إذا تم مسح رخصة قيادتك ضوئيًا بواسطة بائع تجزئة أو تطبيق أو منصة إلكترونية لأغراض التحقق من العمر أو الهوية في أي وقت خلال العام الماضي أو أكثر، فهناك احتمال حقيقي أن معلوماتك مرت عبر أنظمة IDScan خلال الفترة التي كان فيها هذا الاختراق نشطًا. رخصة القيادة المسروقة ليست إزعاجًا بسيطًا. إنها وثيقة تجمع بين اسمك الكامل وعنوانك وتاريخ ميلادك وصورتك ورقم رخصتك، وكلها يمكن استخدامها لسرقة الهوية أو إنشاء حسابات احتيالية أو هجمات تصيد مستهدفة.
على عكس كلمة المرور المسربة، لا يمكنك ببساطة إعادة تعيين رقم رخصة القيادة. وهذا يجعل الاختراقات مثل هذا الاختراق ضارة بشكل خاص وطويلة الأمد في عواقبها.
خطوات عملية يمكنك اتخاذها
- تحقق مما إذا كانت أي منصة استخدمتها للتحقق من العمر أو الهوية تعمل مع IDScan، وراقب رسائل البريد الإلكتروني الخاصة بالإشعارات بشأن الاختراقات.
- راقب تقارير الائتمان الخاصة بك وقم بإعداد تنبيهات الاحتيال إذا كنت تعتقد أن بيانات رخصتك قد تكون مكشوفة.
- كن حذرًا من رسائل البريد الإلكتروني أو المكالمات غير المرغوبة التي تشير إلى رخصة قيادتك أو عنوانك أو تاريخ ميلادك، حيث يمكن استخدام هذه التفاصيل في محاولات تصيد مقنعة.
- فكر في تجميد الائتمان الخاص بك مع مكاتب الائتمان الرئيسية إذا كنت قلقًا بشأن سرقة الهوية بعد اختراق بيانات IDScan.
- اسأل أي خدمة تطلب التحقق من الهوية مستقبلًا عن المدة التي تحتفظ فيها بالوثائق الممسوحة ضوئيًا وما إذا كانت مخزنة مع جهة خارجية مثل IDScan.
يبرز اختراق IDScan توترًا متزايدًا بين متطلبات التحقق من العمر ومخاطر الأمان المترتبة على مركزة وثائق الهوية الحساسة في قواعد بيانات الأطراف الثالثة. مع استمرار الدعاوى القضائية وظهور المزيد من التفاصيل، من المرجح أن تصبح هذه الحادثة دراسة حالة في سبب أهمية مدة الاختراق وسرعة اكتشافه بقدر أهمية عدد السجلات المكشوفة.
