Ein einjähriger IDScan-Sicherheitsvorfall, den niemand bemerkte

Neue Details zum IDScan-Datenschutzvorfall deuten darauf hin, dass der Vorfall weitaus schwerwiegender war als ein einmaliger Überfall-Hack. Laut Berichten scheint das Identitätsverifizierungsunternehmen ein ganzes Jahr lang kompromittiert gewesen zu sein, wobei Angreifer Führerscheine in Echtzeit abzweigten, während sie in das System hochgeladen wurden. Statt eines einmaligen Diebstahls einer statischen Datenbank sieht dies wie eine anhaltende, Live-Pipeline gestohlener Identitätsdokumente aus, die zwölf Monate lang aus den Servern von IDScan floss, bevor jemand es bemerkte.

Dieses Detail ist wichtig. Es bedeutet, dass jeder Führerschein, der in diesem Zeitraum von IDScan gescannt, verifiziert oder gespeichert wurde – sei es zur Altersverifizierung bei einem Einzelhändler, auf einer Online-Plattform oder bei einem anderen Dienst, der die Tools des Unternehmens nutzt – möglicherweise von den Eindringlingen fast unmittelbar nach dem Eintreffen in der Datenbank erfasst wurde. Wie wir zuvor berichtet haben, tauchte auf einem Dark-Web-Marktplatz ein Angebot mit Scans von rund 153 Millionen Führerscheinen aus den USA und Kanada auf, die angeblich aus genau diesem Vorfall stammen.

Warum ein „Live"-Vorfall schlimmer ist als ein Schnappschuss

Die meisten Datenschutzvorfälle, die Schlagzeilen machen, beinhalten ein einzelnes Extraktionsereignis: Angreifer brechen ein, kopieren eine Datenbank und verschwinden. Die hier beschriebene IDScan-Situation ist anders. Wenn Hacker ein Jahr lang kontinuierlichen Zugriff hatten, deutet das darauf hin, dass sie nicht nur alte Datensätze stahlen, die im Speicher lagen. Sie erfassten frische Dokumente, während echte Menschen sie Tag für Tag, Monat für Monat zur Alters- oder Identitätsverifizierung einreichten.

Diese Art von dauerhaftem Zugriff deutet typischerweise auf eine tiefere Kompromittierung hin als auf einen falsch konfigurierten Server oder einen einzelnen gestohlenen Zugangsnachweis. Es wirft Fragen darüber auf, wie lange der Eindringversuch unentdeckt blieb und welche Überwachung, falls überhaupt vorhanden, eingerichtet war, um ungewöhnliche Datenabflüsse aus einem System zu erkennen, das so viele sensible persönliche Informationen verarbeitet. IDScan sieht sich nun mehreren Klagen wegen des mutmaßlichen Vorfalls gegenüber, wie in unserer früheren Berichterstattung über die rechtlichen Folgen beschrieben, und das Ausmaß und die Dauer des Vorfalls werden in diesen Fällen voraussichtlich eine große Rolle spielen.

Das Gesamtbild für Altersverifizierungsdienste

Altersverifizierungsunternehmen wie IDScan sitzen an einer unangenehmen Schnittstelle: Sie existieren speziell dafür, staatlich ausgestellte Identitätsdokumente zu sammeln und zu verifizieren, oft für Plattformen mit rechtlichen Verpflichtungen zur Bestätigung des Alters eines Nutzers. Dieses Geschäftsmodell bedeutet, dass diese Unternehmen enorme Mengen an Führerscheinen, Pässen und anderen sensiblen Identifikatoren ansammeln, was sie zu hochwertigen Zielen für Cyberkriminelle macht.

Der IDScan-Vorfall ist eine Erinnerung daran, dass der wachsende Druck hin zur Altersverifizierung auf Websites, Apps und bei Einzelhändlern einen echten Kompromiss mit sich bringt. Jedes Mal, wenn ein Führerschein gescannt wird, um zu beweisen, dass jemand alt genug ist, um etwas zu kaufen oder auf einen Dienst zuzugreifen, wird dieses Dokument gespeichert, verarbeitet und möglicherweise irgendwo in einem Drittanbietersystem exponiert, das der Endnutzer nicht einsehen kann. Eine einjährige, unentdeckte Kompromittierung bei einem Unternehmen, das speziell zum Schutz dieser Art von Daten gebaut wurde, untergräbt das Argument, dass zentrale Altersverifizierung von Natur aus sicherer ist als die Alternativen.

Was das für Sie bedeutet

Wenn Ihr Führerschein im letzten Jahr oder länger von einem Einzelhändler, einer App oder einer Online-Plattform zu Alters- oder Identitätsverifizierungszwecken gescannt wurde, besteht die reale Möglichkeit, dass Ihre Informationen während des aktiven Zeitraums dieses Vorfalls durch die Systeme von IDScan gelaufen sind. Ein gestohlener Führerschein ist keine Kleinigkeit. Es ist ein Dokument, das Ihren vollständigen Namen, Ihre Adresse, Ihr Geburtsdatum, Ihr Foto und Ihre Führerscheinnummer kombiniert – all das kann für Identitätsdiebstahl, betrügerische Kontoerstellung oder gezielte Phishing-Angriffe verwendet werden.

Anders als bei einem geleakten Passwort können Sie eine Führerscheinnummer nicht einfach zurücksetzen. Das macht Sicherheitsvorfälle wie diesen besonders schädlich und in ihren Konsequenzen langanhaltend.

Umsetzbare Empfehlungen

  • Prüfen Sie, ob eine Plattform, die Sie zur Alters- oder Identitätsverifizierung genutzt haben, mit IDScan zusammengearbeitet hat, und achten Sie auf Benachrichtigungs-E-Mails zu Sicherheitsvorfällen.
  • Überwachen Sie Ihre Kreditberichte und richten Sie Betrugswarnungen ein, wenn Sie glauben, dass Ihre Führerscheindaten exponiert wurden.
  • Seien Sie vorsichtig bei unaufgeforderten E-Mails oder Anrufen, die sich auf Ihren Führerschein, Ihre Adresse oder Ihr Geburtsdatum beziehen, da diese Details für überzeugende Phishing-Versuche verwendet werden könnten.
  • Erwägen Sie eine Kreditwürdigkeits-Sperre (Credit Freeze) bei den großen Auskunfteien, wenn Sie nach dem IDScan-Datenschutzvorfall Bedenken bezüglich Identitätsdiebstahls haben.
  • Fragen Sie jeden Dienst, der künftig eine ID-Verifizierung verlangt, wie lange gescannte Dokumente aufbewahrt werden und ob sie bei einem Drittanbieter wie IDScan gespeichert werden.

Der IDScan-Vorfall unterstreicht eine wachsende Spannung zwischen Altersverifizierungsanforderungen und den Sicherheitsrisiken der Zentralisierung sensibler Identitätsdokumente in Drittanbieter-Datenbanken. Während die Klagen fortschreiten und weitere Details ans Licht kommen, könnte dieser Vorfall zu einer Fallstudie dafür werden, warum die Dauer und die Erkennungsgeschwindigkeit eines Sicherheitsvorfalls genauso wichtig sind wie die Anzahl der exponierten Datensätze.