Mere end 15.000 personer har tilmeldt sig et websted oprettet for at forberede et muligt fælles erstatningssøgsmål efter et databrud hos en japansk bildelingstjeneste. Ifølge en advokat involveret i lanceringen af webstedet omfattede lækagen identitetsbekræftelsesdokumenter, herunder billeder af kørekort. Sagen er et klart eksempel på, hvorfor et databrud med identitetsbekræftelsesdokumenter behandles så alvorligt af privatlivseksperter og af de berørte personer.
Hvad skete der i bildelingsdatabruddet
De tilgængelige rapporter er indtil videre korte. Et nyligt databrud hos en japansk bildelingstjeneste eksponerede identitetsbekræftelsesdokumenter, heriblandt billeder af kørekort. En advokat involveret i oprettelsen af webstedet sagde, at mere end 15.000 personer har registreret sig for at forberede et muligt fælles erstatningssøgsmål.
De detaljer, vi kan bekræfte, er begrænset til disse punkter. Kilden beskriver ikke i de tilgængelige dele, hvordan lækagen opstod, hvor mange personer der i alt blev berørt, eller hvad et eventuelt søgsmål kan sigte mod. Vi vil ikke gætte på disse detaljer. Det, tilmeldingstallet viser, er, hvor hurtigt berørte kunder organiserer sig, når de erfarer, at kopier af deres ID er blevet eksponeret.
Et fælles søgsmål fortæller også noget om, hvordan folk reagerer på denne type hændelse. Individuelle krav om en lækage kan være svære at føre, så kollektiv handling er en måde for personer med samme klage at samle kræfterne.
Hvorfor ID-dokumenter er et højværdimål
Bildelingstjenester skal typisk bekræfte, at en person lovligt må føre et køretøj, før de udleverer en bil. Derfor indsamler de scanninger eller fotos af kørekort. Den samme kontrol, der gør tjenesten sikker at drive, skaber en ophobning af følsomme registre.
ID-dokumenter er attraktive for angribere af en simpel grund: de kan ikke ændres nemt. Hvis en adgangskode lækkes, nulstiller du den. Hvis et kortnummer lækkes, udsteder banken et nyt. Et kørekortbillede indeholder et fuldt navn, et foto, en fødselsdato og ofte en adresse, og disse oplysninger følger dig i årevis.
Denne holdbarhed betyder også, at skaden kan opstå sent. Vores dækning af Synnovis NHS-bruddet og stjålne patientdata, der dukker op på dark web viser, hvordan information taget i én hændelse kan dukke op igen længe efter, hvilket udvider risikoen langt ud over de oprindelige overskrifter.
Hvad eksponerede kørekortbilleder kan bruges til
Kildeartiklen siger ikke, hvordan de eksponerede japanske registre er blevet brugt, og vi har ingen beviser for misbrug. Generelt peger sikkerhedseksperter dog på flere risici, når ID-billeder lækkes:
- Efterligning: En scanning med et foto og personlige oplysninger kan hjælpe nogen med at udgive sig for at være dig, når de kontakter en tjeneste eller support.
- Kontooprettelse eller -gendannelse: Nogle tjenester accepterer et dokumentbillede som identitetsbevis, hvilket en kriminel kan forsøge at misbruge.
- Målrettet phishing: At kende dit rigtige navn og hvor du bruger en tjeneste gør det muligt for en svindler at udforme meddelelser, der virker troværdige.
- Dokumentfalskneri: Et klart billede kan tjene som skabelon for en forfalskning.
Ingen af disse udfald er garanteret for nogen bestemt person. De er grundene til, at en lækage af identitetsdokumenter betragtes som mere alvorlig end mange andre former for eksponering.
Sådan begrænser du din eksponering, når du uploader ID
Du kan ikke kontrollere, hvordan en virksomhed opbevarer dine data, men du kan reducere, hvad du afleverer, og hvor længe det ligger der.
- Spørg, om en scanning virkelig er nødvendig. Hvis en tjeneste tilbyder en personlig kontrol eller en metode, der ikke beholder en kopi, kan du overveje det.
- Læs opbevaringspolitikken. Se efter, hvor længe billeder opbevares, og om de slettes efter verifikation.
- Anmod om sletning. Mange privatlivslove giver dig mulighed for at bede en virksomhed om at slette data, den ikke længere har brug for til sit oprindelige formål.
- Brug unikke logins. Hold adgangskoder adskilt for hver konto, så én lækage ikke åbner andre.
- Vær forsigtig med uopfordrede beskeder. Efter ethvert brud kan du forvente svindel-e-mails og -tekster, der bruger dine rigtige oplysninger.
En VPN beskytter ikke dokumenter, som en virksomhed allerede har gemt, men den kan hjælpe med at sikre din forbindelse, mens du uploader følsomme filer på utryggelige netværk. Vores rapport om den første VPN-tjeneste sanktioneret af det amerikanske finansministerium på grund af ransomware-forbindelser er en påmindelse om også at se nøje på, hvem du betror dine data.
Hvad dette betyder for dig
Hvis du bruger en bildelings-, udlejnings- eller lignende tjeneste, kan en kopi af dit kørekort ligge i en andens database lige nu. Den japanske sag viser, at når et sådant lager eksponeres, kan tusindvis af personer søge en løsning sammen. Den viser også, at konsekvenserne af et databrud med identitetsbekræftelsesdokumenter falder på kunderne, som ikke bare kan udskifte et kørekort, som de ville gøre med en adgangskode.
Du behøver ikke at gå i panik. Du har brug for at vide, hvor dine dokumenter er.
Handlingsrettede pointer
- Lav en liste over tjenester, der har bedt om et foto af dit ID, og tjek, hvilke der stadig har det.
- Indsend sletteanmodninger, hvor du ikke længere bruger tjenesten.
- Vær opmærksom på phishing og usædvanlig kontoaktivitet knyttet til dit navn.
- Hvis du er berørt af et brud, følg officielle meddelelser fra virksomheden, og overvej, om det giver mening for dig at deltage i en kollektiv retslig indsats.
For at forstå, hvorfor risikoen varer ved, kan du læse, hvordan stjålne personoplysninger dukker op igen længe efter en hændelse i vores artikel om Synnovis NHS dark web-lækagen. Lektionen er den samme: den sikreste ID-kopi er den, en virksomhed aldrig beholder.
