Et årlangt IDScan-brud, som ingen opdagede

Nye detaljer om IDScan-databruddet tyder på, at hændelsen var langt mere alvorlig end et enkelt hurtigt hackerangreb. Ifølge rapporter ser identitetsverifikationsvirksomheden ud til at have været kompromitteret i et helt år, hvor angribere stille og roligt tappede kørekort i realtid, efterhånden som de blev uploadet til systemet. I stedet for et engangstyveri af en statisk database ligner dette en vedvarende, live-pipeline af stjålne identitetsdokumenter, der strømmede ud fra IDScans servere i tolv måneder, før nogen opdagede det.

Den detalje betyder noget. Det betyder, at hvert eneste kørekort, der blev scannet, verificeret eller gemt af IDScan i den periode – uanset om det var til aldersverifikation hos en forhandler, på en onlineplatform eller en anden tjeneste, der brugte virksomhedens værktøjer – kan være blevet opsnappet af ubudne gæster næsten, så snart det kom ind i databasen. Som vi tidligere har rapporteret, dukkede et dark web-marked op, der tilbød scanninger knyttet til cirka 153 millioner kørekort fra USA og Canada, angiveligt stammende fra netop dette brud.

Hvorfor et "live" brud er værre end et øjebliksbillede

De fleste databrud, der kommer i overskrifterne, involverer en enkeltstående udtrækningshændelse: Angribere bryder ind, kopierer en database og forlader stedet. IDScan-situationen beskrevet her er anderledes. Hvis hackere havde løbende adgang i et år, tyder det på, at de ikke bare stjal gamle registreringer, der lå i opbevaring. De opsnappede friske dokumenter, efterhånden som rigtige mennesker indsendte dem til alders- eller identitetsverifikation, dag efter dag, måned efter måned.

Denne type vedvarende adgang peger typisk på en dybere kompromittering end en fejlkonfigureret server eller en enkelt stjålet legitimationsoplysning. Det rejser spørgsmål om, hvor længe indtrængen forblev uopdaget, og hvilken overvågning, hvis nogen, der var på plads for at fange usædvanlige dataudstrømninger fra et system, der håndterer så meget følsomme personoplysninger. IDScan står nu over for flere retssager om det påståede brud, som beskrevet i vores tidligere dækning af de juridiske konsekvenser, og omfanget og varigheden af hændelsen vil sandsynligvis spille en stor rolle i disse sager.

Det større billede for aldersverifikationstjenester

Aldersverifikationsvirksomheder som IDScan sidder i et ubehageligt krydsfelt: De findes specifikt for at indsamle og verificere statsudstedte identitetsdokumenter, ofte for platforme med juridiske forpligtelser til at bekræfte en brugers alder. Den forretningsmodel betyder, at disse virksomheder ophober enorme mængder af kørekort, pas og andre følsomme identifikatorer, hvilket gør dem til højværdimål for cyberkriminelle.

IDScan-bruddet er en påmindelse om, at det voksende pres for aldersverifikation på tværs af websites, apps og forhandlere kommer med en reel afvejning. Hver gang et kørekort scannes for at bevise, at nogen er gammel nok til at købe noget eller få adgang til en tjeneste, bliver det dokument gemt, behandlet og potentielt eksponeret et sted i et tredjepartssystem, som slutbrugeren ikke har indsigt i. Et årlangt, uopdaget kompromis hos en virksomhed, der er bygget specifikt til at beskytte denne type data, underminerer argumentet om, at centraliseret aldersverifikation er iboende sikrere end alternativerne.

Hvad dette betyder for dig

Hvis du har fået scannet dit kørekort af en forhandler, en app eller en onlineplatform til alders- eller identitetsverifikation på et hvilket som helst tidspunkt i det seneste år eller mere, er der en reel mulighed for, at dine oplysninger passerede gennem IDScans systemer i det vindue, hvor bruddet var aktivt. Et stjålet kørekort er ikke en mindre ulejlighed. Det er et dokument, der kombinerer dit fulde navn, adresse, fødselsdato, foto og kørekortnummer – alt sammen noget, der kan bruges til identitetstyveri, svigagtig oprettelse af konti eller målrettede phishing-angreb.

I modsætning til et lækket password kan du ikke bare nulstille et kørekortnummer. Det gør brud som dette særligt skadelige og langvarige i deres konsekvenser.

Konkrete handlinger, du kan tage

  • Tjek, om nogen platforme, du har brugt til alders- eller identitetsverifikation, arbejdede med IDScan, og hold øje med e-mails om brudnotifikationer.
  • Overvåg dine kreditrapporter og opsæt svindeladvarsler, hvis du mener, at dine kørekortdata kan være blevet eksponeret.
  • Vær forsigtig med uopfordrede e-mails eller opkald, der henviser til dit kørekort, din adresse eller fødselsdato, da disse oplysninger kan bruges i overbevisende phishing-forsøg.
  • Overvej at fryse din kredit hos de store kreditbureauer, hvis du er bekymret for identitetstyveri efter IDScan-databruddet.
  • Spørg enhver tjeneste, der anmoder om ID-verifikation fremover, hvor længe de opbevarer scannede dokumenter, og om de gemmes hos en tredjepart som IDScan.

IDScan-bruddet understreger en voksende spænding mellem krav om aldersverifikation og sikkerhedsrisiciene ved at centralisere følsomme identitetsdokumenter i tredjepartsdatabaser. Efterhånden som retssagerne skrider frem, og flere detaljer kommer for dagen, vil denne hændelse sandsynligvis blive en case study i, hvorfor varigheden og opdagelseshastigheden af et brud betyder lige så meget som antallet af eksponerede registreringer.