IDScan bestätigt Datenpanne mit über 150 Millionen Ausweisen
Das Identitätsverifizierungsunternehmen IDScan.net hat bestätigt, wovor Sicherheitsforscher wochenlang gewarnt hatten: Seine Systeme wurden kompromittiert, und die personenbezogenen Daten im Zusammenhang mit mehr als 150 Millionen Führerscheindatensätzen wurden offengelegt. Die Bestätigung folgt auf frühere Berichte, wonach ein Darknet-Dienst digitale Scans von Führerscheinen anbot, die mit der Plattform von IDScan verknüpft waren.
Was diesen Vorfall bemerkenswert macht, ist nicht nur das Ausmaß, sondern die Kundenliste. Hertz, FedEx und Target wurden alle als Unternehmen genannt, die auf die Verifizierungsdienste von IDScan zurückgegriffen haben, was bedeutet, dass die Führerscheindaten der Kunden dieser Unternehmen in die Datenpanne geraten sein könnten, ohne dass diese jemals wussten, dass IDScan überhaupt an der Transaktion beteiligt war. Die meisten Menschen, die ein Auto gemietet, eine Lieferung verifiziert oder eine Altersprüfung an der Kasse durchgeführt haben, hatten keine direkte Beziehung zu IDScan. Sie interagierten einfach mit einer vertrauten Marke, die hinter den Kulissen die Identitätsverifizierung an einen Drittanbieter ausgelagert hatte.
Diese Datenpanne hat bereits rechtliche Aufmerksamkeit erregt. Wie in unserer früheren Berichterstattung über die IDScan-Datenpanne und ihre Rolle in der KOSA-Sicherheitsdebatte behandelt, ist das Ausmaß der offengelegten Führerscheindaten zu einem Brennpunkt in breiteren Diskussionen darüber geworden, wie viele personenbezogene Identifikationsinformationen Unternehmen überhaupt sammeln, speichern und mit externen Anbietern teilen dürfen.
Warum Drittanbieter für ID-Verifizierung eine wachsende Angriffsfläche sind
Der IDScan-Vorfall veranschaulicht ein strukturelles Problem, das weit über ein einzelnes Unternehmen hinausgeht. Wenn große Marken das Alter, die Identität oder die Berechtigung eines Kunden überprüfen müssen, bauen viele diese Fähigkeit nicht intern auf. Stattdessen leiten sie sensible Dokumente, Führerscheine, Reisepässe und andere von der Regierung ausgestellte Ausweise, durch spezialisierte Drittanbieter, die eine schnellere und genauere Verifizierung versprechen.
Diese Regelung schafft einen einzigen Ausfallpunkt. Statt einer Datenpanne, die den Kundenstamm eines Unternehmens betrifft, kann eine Kompromittierung bei einem gemeinsamen Anbieter wie IDScan auf jedes Unternehmen ausstrahlen, das auf ihn angewiesen ist. Ein Verbraucher, der niemals direkt Informationen an IDScan.net übermittelt hat, hat trotzdem seine Führerscheindaten gefährdet, einfach weil der Einzelhändler, die Autovermietung oder der Versanddienst, dem er vertraute, diesen Verifizierungsschritt ausgelagert hat.
Diese Dynamik ist genau das, was die Klagen und die regulatorische Aufmerksamkeit befeuert hat, die in unserer früheren Berichterstattung über die IDScan-Datenpanne, die die KOSA-Sicherheitsdebatte befeuert, beschrieben wurden. Je mehr Plattformen Altersverifizierung und Identitätsprüfungen einführen, oft als Reaktion auf neue Vorschriften, desto weiter wächst der Pool sensibler Dokumente, die durch Drittanbieter fließen, und damit auch der potenzielle Wirkungsradius, wenn einer dieser Anbieter kompromittiert wird.
Was Kunden von Hertz, FedEx und Target jetzt tun sollten
Wenn Sie innerhalb des Zeitraums, in dem IDScan Daten verarbeitet hat, ein Fahrzeug bei Hertz gemietet, eine Lieferung über FedEx verifiziert oder eine Identitätsprüfung bei Target durchgeführt haben, sollten Sie Ihre Führerscheindaten als potenziell offengelegt behandeln. Eine Führerscheinnummer, kombiniert mit Name, Geburtsdatum und Adresse, reicht oft aus, damit Identitätsdiebe neue Konten eröffnen, betrügerische Steuererklärungen einreichen oder sich in anderen Kontexten als Sie ausgeben können.
Beginnen Sie damit, zu prüfen, ob eines der drei genannten Unternehmen direkte Benachrichtigungen über die Datenpanne versandt hat. Auch wenn Sie noch keine erhalten haben, sollten Sie in Erwägung ziehen, bei den großen Kreditauskunfteien einen Betrugsalarm oder eine Kreditsperre einzurichten, da Führerscheindaten häufig verwendet werden, um andere Identitätsprüfungen zu umgehen. Überwachen Sie Ihre Konten auf ungewohnte Aktivitäten und seien Sie vorsichtig bei Phishing-Versuchen, die auf die Datenpanne verweisen könnten, um legitim zu erscheinen. Betrüger folgen auf hochkarätige Datenpannen oft mit gezielten E-Mails oder Textnachrichten, die darauf ausgelegt sind, betroffenen Personen noch mehr Informationen zu entlocken.
Zukünftige Exposition begrenzen: Reduzieren, wie viele Ausweisdaten Sie teilen
Während Sie nicht kontrollieren können, wie ein Einzelhändler oder eine Autovermietung die Verifizierung hinter den Kulissen handhabt, können Sie bewusster entscheiden, wann und wo Sie ein Bild oder einen Scan Ihres Führerscheins herausgeben. Fragen Sie, ob eine physische Prüfung ausreicht, bevor Sie zustimmen, ein Foto Ihres Ausweises in eine App oder auf eine Website hochzuladen. Wenn digitale Verifizierung unvermeidbar ist, prüfen Sie, ob das Unternehmen offenlegt, welcher Anbieter diese Daten verarbeitet, und achten Sie auf Datenschutzrichtlinien, die angeben, wie lange Datensätze aufbewahrt werden.
Es lohnt sich auch, regelmäßig nach Ihren eigenen Informationen zusammen mit Begriffen wie Ihrem Namen und „Führerschein“ zu suchen, um frühe Anzeichen einer Exposition zu erkennen, und Identitätsüberwachungsdienste zu nutzen, die speziell auf den Missbrauch von Regierungsausweisen achten und nicht nur auf Kreditkartennummern.
Das Fazit
Die IDScan-Datenpanne mit der Offenlegung von Führerscheindaten zeigt, wie schnell eine einzelne Anbieterkompromittierung auf Marken mit bekannten Namen übergreifen kann. Kunden von Hertz, FedEx und Target haben sich nicht dafür entschieden, ihre Daten mit IDScan.net zu teilen, und stehen dennoch viele nun vor denselben Risiken, als hätten sie es getan. Da Identitätsverifizierung online und in Geschäften immer häufiger wird, ist Wachsamkeit darüber, welche Anbieter Ihre Dokumente handhaben, und Widerspruch, wenn dies nicht klar ist, eine der wenigen Möglichkeiten, wie Verbraucher sich gegen diese wachsende Angriffsfläche zur Wehr setzen können. Wenn Sie kürzlich mit einem der genannten Unternehmen Geschäfte gemacht haben, ergreifen Sie jetzt die vorbeugenden Maßnahmen, anstatt auf einen formellen Benachrichtigungsbrief zu warten.
