IDScan potvrzuje únik postihující více než 150 milionů dokladů totožnosti

Společnost pro ověřování identity IDScan.net potvrdila to, před čím bezpečnostní výzkumníci varovali už několik týdnů: její systémy byly napadeny a osobní údaje spojené s více než 150 miliony záznamů z řidičských průkazů byly odhaleny. Potvrzení přichází po dřívějších zprávách, že služba na dark webu nabízela digitální skeny řidičských průkazů napojených na platformu IDScan.

Co dělá tento incident pozoruhodným, není jen jeho rozsah, ale seznam klientů. Hertz, FedEx a Target byly jmenovány jako podniky, které se spoléhaly na ověřovací služby IDScan, což znamená, že zákazníci těchto společností mohli mít svá data z řidičských průkazů zahrnuta do úniku, aniž by kdy tušili, že IDScan byl do transakce vůbec zapojen. Většina lidí, kteří si půjčili auto, ověřili doručení nebo dokončili kontrolu věku u pokladny, neměla s IDScan přímý vztah. Jednoduše interagovali se známou značkou, která v zákulisí outsourcovala ověřování identity třetí straně.

Tento únik již přitáhl právní pozornost. Jak jsme uvedli v našem dřívějším článku o úniku dat IDScan a jeho roli v debatě o bezpečnosti KOSA, rozsah odhalených dat z řidičských průkazů se stal ohniskem širších diskusí o tom, kolik osobních identifikačních údajů by společnosti měly mít povoleno shromažďovat, uchovávat a sdílet s externími dodavateli.

Proč jsou poskytovatelé ověřování identity třetích stran rostoucí útočnou plochou

Incident IDScan ilustruje strukturální problém, který přesahuje daleko za jednu společnost. Když velké značky potřebují ověřit věk, identitu nebo způsobilost zákazníka, mnohé si tuto schopnost nebudují interně. Místo toho směrují citlivé dokumenty, řidičské průkazy, pasy a další vládou vydané doklady totožnosti přes specializované dodavatele třetích stran, kteří slibují rychlejší a přesnější ověření.

Toto uspořádání vytváří jediný bod selhání. Místo úniku postihujícího zákaznickou základnu jedné společnosti může kompromitace u sdíleného dodavatele, jako je IDScan, zasáhnout každý podnik, který se na něj spoléhá. Spotřebitel, který nikdy přímo neposkytl informace IDScan.net, stále skončí s daty svého řidičského průkazu v ohrožení, jednoduše proto, že maloobchodník, půjčovna aut nebo přepravní služba, které důvěřoval, tento krok ověření outsourcovala.

Tato dynamika je přesně tím, co pohání žaloby a regulační pozornost podrobně popsané v našem předchozím článku o úniku dat IDScan podněcujícím debatu o bezpečnosti KOSA. Jak stále více platforem zavádí ověřování věku a kontroly identity, často v reakci na nové předpisy, množství citlivých dokumentů procházejících přes dodavatele třetích stran neustále roste, a stejně tak roste i potenciální rozsah dopadů, když je některý z těchto dodavatelů kompromitován.

Co by zákazníci Hertz, FedEx a Target měli nyní udělat

Pokud jste si půjčili vozidlo od Hertz, ověřili doručení přes FedEx nebo dokončili kontrolu identity v Target v časovém období, kdy IDScan zpracovával data, stojí za to považovat informace ze svého řidičského průkazu za potenciálně odhalené. Číslo řidičského průkazu v kombinaci se jménem, datem narození a adresou často stačí k tomu, aby zloději identity otevřeli nové účty, podali podvodná daňová přiznání nebo se vydávali za vás v jiných kontextech.

Začněte tím, že zkontrolujete, zda některá ze tří jmenovaných společností přímo zaslala oznámení o úniku. I když jste žádné ještě neobdrželi, zvažte umístění výstrahy před podvodem nebo zmrazení úvěru u hlavních úvěrových kanceláří, protože data z řidičských průkazů se často používají k obejití jiných kontrol identity. Sledujte své účty kvůli neznámé aktivitě a buďte opatrní vůči phishingovým pokusům, které mohou odkazovat na únik, aby se zdály legitimními. Podvodníci často následují vysoce profilované úniky cílenými e-maily nebo textovými zprávami navrženými tak, aby z postižených jednotlivců vylákali ještě více informací.

Omezení budoucí expozice: Snižte, kolik údajů z dokladů totožnosti sdílíte

I když nemůžete ovlivnit, jak maloobchodník nebo půjčovna aut nakládá s ověřováním v zákulisí, můžete být obezřetnější v tom, kdy a kde předáváte snímek nebo sken svého řidičského průkazu. Než souhlasíte s nahráním fotografie svého dokladu totožnosti do aplikace nebo na web, zeptejte se, zda postačuje fyzická kontrola. Když je digitální ověření nevyhnutelné, zkontrolujte, zda společnost zveřejňuje, který dodavatel tato data zpracovává, a hledejte zásady ochrany osobních údajů, které specifikují, jak dlouho jsou záznamy uchovávány.

Rovněž stojí za to pravidelně vyhledávat své vlastní informace spolu s výrazy jako vaše jméno a „řidičský průkaz“, abyste zachytili rané známky expozice, a používat služby monitorování identity, které se specificky zaměřují na zneužití vládních dokladů totožnosti, nikoli jen na čísla kreditních karet.

Závěr

Únik dat IDScan a odhalení řidičských průkazů ukazují, jak rychle se kompromitace jednoho dodavatele může rozšířit přes značky známé v každé domácnosti. Zákazníci Hertz, FedEx a Target se nerozhodli sdílet svá data s IDScan.net, přesto mnozí nyní čelí stejným rizikům, jako by tak učinili. Jak se ověřování identity stává běžnějším online i v obchodech, zůstat v pozoru ohledně toho, kteří dodavatelé nakládají s vašimi dokumenty, a ozvat se, když to není jasné, je jedním z mála způsobů, jak mohou spotřebitelé čelit této rostoucí útočné ploše. Pokud jste v nedávné době obchodovali s některou ze jmenovaných společností, podnikněte preventivní kroky nyní, místo abyste čekali na formální oznámení.