Co únik dat u IDScan odhalil

Podle žalob podaných proti společnosti IDScan ohrozil hlášený únik dat u firmy zabývající se ověřováním totožnosti více než 153 milionů řidičských průkazů. Rozsah incidentu, jednoho z největších zveřejněných úniků dokladů totožnosti, které jsou v evidenci, znovu otevřel otázky ohledně toho, jak dodavatelé ověřování ukládají a chrání citlivé dokumenty, které shromažďují. Pro podrobnější pohled na právní důsledky několik žalob podaných proti IDScan popisuje tvrzení, že se hackerům podařilo získat přístup k tomuto množství záznamů a nabídli je k prodeji.

Řidičské průkazy nejsou jen jména a adresy. Obvykle obsahují fotografii, podpis, číslo průkazu vydaného státem a často i datum narození, což vše lze použít k vytvoření přesvědčivých schémat krádeže identity nebo k obejití jiných bezpečnostních kontrol, které se spoléhají na porovnávání osobních údajů. Pokud jeden dodavatel drží tato data pro miliony lidí najednou, jediný únik se může rozšířit daleko za platformy, které ověření původně vyžadovaly.

Jak by zákony o ověřování věku, jako je KOSA, tento risk znásobily

Zákon o bezpečnosti dětí online (KOSA) je navržen tak, aby chránil nezletilé před škodlivým obsahem, a jedním z diskutovaných mechanismů k dosažení tohoto cíle je požadavek, aby platformy ověřovaly věk svých uživatelů. V praxi to znamená přijetí stejného druhu infrastruktury pro ověřování totožnosti, jakou poskytují společnosti jako IDScan, tedy systémů, které shromažďují a ukládají údaje z dokladů vydaných státem, aby potvrdily věk uživatele.

A právě zde se únik dat u IDScan stává víc než jen příběhem jedné společnosti. Oborová komunikace o ověřování věku často vede hranici mezi „ověřováním věku" a „ověřováním totožnosti", čímž naznačuje, že jde o dva oddělené procesy s nižším rizikem. Technická realita je ale taková, že většina systémů pro ověřování věku potvrzuje věk právě ověřením totožnosti, obvykle prostřednictvím naskenovaného dokladu. Pokud KOSA nebo podobné zákony donutí platformy k povinné kontrole věku, praktickým důsledkem bude rozšíření centralizovaných databází s řidičskými průkazy, daty narození a dalšími identifikačními údaji, tedy přesně toho typu cíle, který umožnil únik dat u IDScan.

Nejde o hypotetickou politickou debatu kvůli debatě samotné. Je to přímá otázka rozsahu: pokud jeden dodavatel ověřování může vystavit 153 milionů záznamů, co se stane, když mandatorní ověřování věku donutí desítky platforem vybudovat nebo si najmout podobné systémy, z nichž každý bude držet průkazy milionů uživatelů, včetně nezletilých?

Bezpečnostní prohlášení dodavatelů vs. to, co se skutečně stalo

Společnosti zabývající se ověřováním totožnosti se běžně prezentují jako bezpeční správci citlivých dat, přičemž odkazují na šifrování, certifikace shody a postupy nakládání s daty navržené tak, aby uklidnily regulační orgány i veřejnost. Společnost IDScan udržovala veřejná ujištění o svých bezpečnostních postupech i v době, kdy žaloby popisují únik, který se dotkl obrovského objemu záznamů.

Tento rozdíl mezi deklarovaným bezpečnostním postojem a skutečným výsledkem je ústředním problémem pro každého, kdo zvažuje, zda je povinné ověřování věku na základě dokladů bezpečným politickým směrem. Ujištění dodavatele nejsou totéž co ověřené výsledky, a jakmile k úniku dojde, škody pro dotčené jednotlivce, potenciální krádež identity, podvod a ztráta kontroly nad osobními dokumenty, nelze odčinit omluvou ani opraveným systémem. Žaloby proti IDScan nyní prověřují, jak velkou odpovědnost nese dodavatel ověřování, když jeho sliby neodpovídají jeho praxi.

Co to znamená pro vás

Pokud jste použili službu, která vyžadovala nahrání řidičského průkazu nebo jiného státního dokladu kvůli ověření věku či totožnosti, stojí za to zkontrolovat, zda daný poskytovatel nezveřejnil nějaký bezpečnostní incident. Vzhledem k rozsahu úniku dat u IDScan by každý, kdo předložil průkaz prostřednictvím ověřovacího partnera, měl považovat číslo svého řidičského průkazu a osobní údaje za potenciálně odhalené a sledovat známky zneužití identity, jako jsou neznámé dotazy na úvěr nebo zakládání účtů.

Obecněji řečeno, debata o KOSA a podobných návrzích na ověřování věku není jen politickým argumentem; je to náhled do toho, kolik osobních údajů by mohlo být brzy centralizováno napříč mnohem větším počtem platforem, pokud se ověřování na základě dokladů stane standardní praxí. Pochopení tohoto rizika úniku dat při ověřování věku nyní, než vstoupí v platnost širší mandáty, dává uživatelům a rodičům jasnější představu o souvisejících kompromisech.

Hlavní závěry

  • Zkontrolujte všechny platformy nebo služby, které vyžadovaly státní doklad k ověření, a zjistěte, zda nezveřejnily informace o úniku dat.
  • Sledujte úvěrové zprávy a finanční účty, pokud jste předložili průkaz ověřovacímu dodavateli, zejména tomu, který je spojen se známým incidentem.
  • Pokud je to možné, vybírejte služby, které nabízejí metody ověřování chránící soukromí a nevyžadují ukládání celého skenu dokladu.
  • Sledujte legislativu, jako je KOSA, protože povinné ověřování věku by mohlo rozšířit počet centralizovaných databází dokladů podobných té, která byla zapojena do tohoto úniku.
  • Přečtěte si průběžné zpravodajství o žalobách týkajících se úniku dat u IDScan pro aktuality o tom, jak mohou být dotčení uživatelé informováni nebo odškodněni.

Incident u IDScan je jasným signálem, že centralizace dokladů totožnosti, byť s nejlepšími úmysly ochránit děti online, vytváří koncentrované cíle pro útočníky. Snížení závislosti na ověřování na základě dokladů tam, kde existují alternativy, a ostražitost vůči oznámením o úniku dat, zůstává jedním z nejpraktičtějších kroků, které mohou uživatelé právě teď podniknout.