Únik dat IDScan: Hackeři kradli řidičské průkazy naživo po celý rok

Rok trvající únik dat IDScan, kterého si nikdo nevšiml

Nové podrobnosti o úniku dat IDScan naznačují, že incident byl mnohem závažnější než jednorázový hackerský útok. Podle zpráv se zdá, že společnost zabývající se ověřováním totožnosti byla kompromitována po celý rok, přičemž útočníci tiše odčerpávali řidičské průkazy v reálném čase, jak byly nahrávány do systému. Spíše než o jednorázovou krádež statické databáze jde o trvalé, živé potrubí ukradených dokladů totožnosti proudících ze serverů IDScan po dvanáct měsíců, než si toho někdo všiml.

Tento detail je důležitý. Znamená to, že každý řidičský průkaz naskenovaný, ověřený nebo uložený společností IDScan během tohoto období, ať už pro ověření věku u prodejce, na online platformě nebo v jiné službě spoléhající na nástroje této společnosti, mohl být zachycen vetřelci téměř okamžitě poté, co se dostal do databáze. Jak jsme již dříve informovali, na tržišti temného webu se objevila nabídka skenů spojených s přibližně 153 miliony řidičských průkazů ze Spojených států a Kanady, údajně pocházejících z tohoto konkrétního úniku.

Proč je „živý" únik horší než jednorázový

Většina úniků dat, které se dostanou na titulní stránky, zahrnuje jedinou událost extrakce: útočníci proniknou dovnitř, zkopírují databázi a odejdou. Situace popisovaná u IDScan je jiná. Pokud měli hackeři nepřetržitý přístup po celý rok, naznačuje to, že nekradli jen staré záznamy uložené v archivech. Zachycovali čerstvé dokumenty v okamžiku, kdy je skuteční lidé předkládali k ověření věku nebo totožnosti, den za dnem, měsíc za měsícem.

Tento druh trvalého přístupu obvykle poukazuje na hlubší kompromitaci než na chybně nakonfigurovaný server nebo jediný ukradený přihlašovací údaj. Vyvolává otázky, jak dlouho průnik zůstal nezjištěn a jaké monitorování, pokud vůbec nějaké, bylo zavedeno k zachycení neobvyklých datových toků ze systému, který zpracovává tolik citlivých osobních informací. Společnost IDScan nyní čelí několika žalobám kvůli údajnému úniku, jak je podrobně popsáno v naší dřívější zprávě o právních dopadech, a rozsah a délka incidentu pravděpodobně výrazně ovlivní tyto případy.

Širší souvislosti pro služby ověřování věku

Společnosti pro ověřování věku, jako je IDScan, se nacházejí na nepříjemné křižovatce: existují právě proto, aby shromažďovaly a ověřovaly státem vydané doklady totožnosti, často pro platformy s právní povinností potvrdit věk uživatele. Tento obchodní model znamená, že tyto společnosti hromadí obrovské množství řidičských průkazů, pasů a dalších citlivých identifikátorů, což z nich činí vysoce hodnotné cíle pro kybernetické zločince.

Únik dat IDScan je připomínkou, že rostoucí tlak na ověřování věku napříč weby, aplikacemi a prodejci přináší skutečný kompromis. Pokaždé, když je řidičský průkaz naskenován, aby se prokázalo, že je někdo dost starý na nákup nebo přístup ke službě, je tento dokument ukládán, zpracováván a potenciálně vystaven někde v systému třetí strany, do kterého koncový uživatel nemá žádný přehled. Rok trvající, nezjištěná kompromitace ve společnosti vytvořené speciálně pro ochranu tohoto druhu dat podkopává argument, že centralizované ověřování věku je ze své podstaty bezpečnější než alternativy.

Co to znamená pro vás

Pokud vám byl řidičský průkaz naskenován prodejcem, aplikací nebo online platformou pro účely ověření věku nebo totožnosti kdykoli v posledním roce či déle, existuje reálná možnost, že vaše informace prošly systémy IDScan během období, kdy byl tento únik aktivní. Ukradený řidičský průkaz není drobná nepříjemnost. Je to dokument, který kombinuje vaše celé jméno, adresu, datum narození, fotografii a číslo průkazu, z nichž všechny lze použít pro krádež identity, vytváření podvodných účtů nebo cílené phishingové útoky.

Na rozdíl od uniklého hesla si číslo řidičského průkazu jednoduše nenastavíte znovu. To činí úniky tohoto typu obzvláště škodlivými a dlouhodobými ve svých důsledcích.

Praktická doporučení

• Zkontrolujte, zda jakákoli platforma, kterou jste použili pro ověření věku nebo totožnosti, spolupracovala se společností IDScan, a sledujte e-maily s oznámením o narušení.
• Sledujte své úvěrové zprávy a nastavte si upozornění na podvody, pokud se domníváte, že vaše řidičská data mohla být odhalena.
• Buďte opatrní vůči nevyžádaným e-mailům nebo hovorům odkazujícím se na váš řidičský průkaz, adresu nebo datum narození, protože tyto údaje by mohly být použity v důvěryhodně vypadajících phishingových pokusech.
• Zvažte zmrazení úvěru u hlavních úvěrových kanceláří, pokud máte obavy z krádeže identity po úniku dat IDScan.
• Ptejte se jakékoli služby, která bude v budoucnu vyžadovat ověření totožnosti, jak dlouho uchovává naskenované dokumenty a zda jsou ukládány u třetí strany, jako je IDScan.

Únik dat IDScan zdůrazňuje rostoucí napětí mezi požadavky na ověřování věku a bezpečnostními riziky centralizace citlivých dokladů totožnosti v databázích třetích stran. Jak soudní spory pokračují a na světlo vycházejí další podrobnosti, tento incident se pravděpodobně stane případovou studií toho, proč na délce trvání úniku a rychlosti jeho odhalení záleží stejně jako na počtu odhalených záznamů.