Η IDScan Επιβεβαιώνει Παραβίαση που Επηρεάζει Πάνω από 150 Εκατομμύρια Ταυτότητες

Η εταιρεία επαλήθευσης ταυτότητας IDScan.net επιβεβαίωσε αυτό για το οποίο προειδοποιούσαν επί εβδομάδες οι ερευνητές ασφαλείας: τα συστήματά της παραβιάστηκαν και τα προσωπικά δεδομένα που συνδέονται με περισσότερα από 150 εκατομμύρια αρχεία διπλωμάτων οδήγησης έχουν εκτεθεί. Η επιβεβαίωση ακολουθεί προηγούμενες αναφορές ότι μια υπηρεσία στο dark web προσέφερε ψηφιακές σαρώσεις διπλωμάτων οδήγησης που συνδέονταν με την πλατφόρμα της IDScan.

Αυτό που καθιστά αυτό το περιστατικό αξιοσημείωτο δεν είναι μόνο η κλίμακα, αλλά η λίστα πελατών. Οι Hertz, FedEx και Target έχουν όλες κατονομαστεί ως επιχειρήσεις που βασίζονταν στις υπηρεσίες επαλήθευσης της IDScan, πράγμα που σημαίνει ότι οι πελάτες αυτών των εταιρειών μπορεί να είδαν τα δεδομένα του διπλώματος οδήγησής τους να παρασύρονται στην παραβίαση χωρίς να γνωρίζουν ποτέ ότι η IDScan εμπλεκόταν καθόλου στη συναλλαγή. Οι περισσότεροι άνθρωποι που νοίκιασαν ένα αυτοκίνητο, επαλήθευσαν μια παράδοση ή ολοκλήρωσαν έναν έλεγχο ηλικίας στο ταμείο δεν είχαν καμία άμεση σχέση με την IDScan. Απλώς συναλλάσσονταν με μια γνώριμη μάρκα που, στα παρασκήνια, ανέθετε εξωτερικά την επαλήθευση ταυτότητας σε έναν τρίτο προμηθευτή.

Αυτή η παραβίαση έχει ήδη προσελκύσει νομικό έλεγχο. Όπως καλύφθηκε στην προηγούμενη ανάρτησή μας σχετικά με την παραβίαση της IDScan και τον ρόλο της στη συζήτηση για την ασφάλεια του KOSA, η κλίμακα των εκτεθειμένων δεδομένων διπλωμάτων οδήγησης έχει γίνει σημείο ανάφλεξης σε ευρύτερες συζητήσεις σχετικά με το πόσα προσωπικά δεδομένα ταυτοποίησης θα πρέπει να επιτρέπεται στις εταιρείες να συλλέγουν, να αποθηκεύουν και να μοιράζονται με εξωτερικούς προμηθευτές εξαρχής.

Γιατί οι Τρίτοι Προμηθευτές Επαλήθευσης Ταυτότητας Αποτελούν Αυξανόμενη Επιφάνεια Επίθεσης

Το περιστατικό της IDScan απεικονίζει ένα δομικό πρόβλημα που εκτείνεται πολύ πέρα από μία εταιρεία. Όταν μεγάλες μάρκες χρειάζεται να επαληθεύσουν την ηλικία, την ταυτότητα ή την επιλεξιμότητα ενός πελάτη, πολλές δεν αναπτύσσουν αυτή την ικανότητα εσωτερικά. Αντ' αυτού, δρομολογούν ευαίσθητα έγγραφα, διπλώματα οδήγησης, διαβατήρια και άλλα κρατικά εκδοθέντα έγγραφα ταυτοποίησης, μέσω εξειδικευμένων τρίτων προμηθευτών που υπόσχονται ταχύτερη, ακριβέστερη επαλήθευση.

Αυτή η ρύθμιση δημιουργεί ένα σημείο αστοχίας. Αντί μια παραβίαση να επηρεάζει την πελατειακή βάση μιας εταιρείας, μια παραβίαση σε έναν κοινόχρηστο προμηθευτή όπως η IDScan μπορεί να εξαπλωθεί σε κάθε επιχείρηση που βασίζεται σε αυτόν. Ένας καταναλωτής που δεν υπέβαλε ποτέ άμεσα πληροφορίες στην IDScan.net καταλήγει παρ' όλα αυτά με τα δεδομένα του διπλώματος οδήγησής του σε κίνδυνο, απλώς και μόνο επειδή ο έμπορος λιανικής, η εταιρεία ενοικίασης ή η υπηρεσία αποστολής που εμπιστεύτηκε ανέθεσε εξωτερικά αυτό το βήμα επαλήθευσης.

Αυτή η δυναμική είναι ακριβώς αυτό που τροφοδότησε τις αγωγές και την κανονιστική προσοχή που περιγράφονται λεπτομερώς στην προηγούμενη κάλυψή μας για την παραβίαση της IDScan που τροφοδοτεί τη συζήτηση για την ασφάλεια του KOSA. Καθώς όλο και περισσότερες πλατφόρμες υιοθετούν την επαλήθευση ηλικίας και τους ελέγχους ταυτότητας, συχνά σε απάντηση νέων κανονισμών, το σύνολο των ευαίσθητων εγγράφων που ρέουν μέσω τρίτων προμηθευτών συνεχίζει να αυξάνεται, όπως και η πιθανή ακτίνα επιπτώσεων όταν ένας από αυτούς τους προμηθευτές παραβιαστεί.

Τι Πρέπει να Κάνουν Τώρα οι Πελάτες των Hertz, FedEx και Target

Εάν έχετε νοικιάσει ένα όχημα από την Hertz, έχετε επαληθεύσει μια παράδοση μέσω FedEx ή έχετε ολοκληρώσει έναν έλεγχο ταυτότητας στην Target εντός του χρονικού πλαισίου κατά το οποίο η IDScan επεξεργάστηκε δεδομένα, αξίζει να αντιμετωπίσετε τις πληροφορίες του διπλώματος οδήγησής σας ως δυνητικά εκτεθειμένες. Ένας αριθμός διπλώματος οδήγησης, σε συνδυασμό με ένα όνομα, ημερομηνία γέννησης και διεύθυνση, είναι συχνά αρκετός για τους κλέφτες ταυτότητας να ανοίξουν νέους λογαριασμούς, να υποβάλουν δόλιες φορολογικές δηλώσεις ή να προσποιηθούν ότι είναι εσείς σε άλλα πλαίσια.

Ξεκινήστε ελέγχοντας εάν οποιαδήποτε από τις τρεις κατονομαζόμενες εταιρείες έχει στείλει ειδοποιήσεις παραβίασης απευθείας. Ακόμα κι αν δεν έχετε λάβει κάποια ακόμη, εξετάστε το ενδεχόμενο να τοποθετήσετε μια ειδοποίηση απάτης ή πάγωμα πίστωσης στα μεγάλα γραφεία πίστωσης, καθώς τα δεδομένα διπλώματος οδήγησης χρησιμοποιούνται συχνά για την παράκαμψη άλλων ελέγχων ταυτότητας. Παρακολουθήστε τους λογαριασμούς σας για άγνωστη δραστηριότητα και να είστε επιφυλακτικοί με απόπειρες phishing που μπορεί να αναφέρουν την παραβίαση για να φαίνονται νόμιμες. Οι απατεώνες συχνά ακολουθούν παραβιάσεις υψηλού προφίλ με στοχευμένα email ή μηνύματα σχεδιασμένα να αποσπάσουν ακόμη περισσότερες πληροφορίες από τα επηρεαζόμενα άτομα.

Περιορισμός Μελλοντικής Έκθεσης: Μειώνοντας Πόσα Δεδομένα Ταυτότητας Μοιράζεστε

Ενώ δεν μπορείτε να ελέγξετε πώς ένας έμπορος λιανικής ή μια εταιρεία ενοικίασης χειρίζεται την επαλήθευση στα παρασκήνια, μπορείτε να είστε πιο προσεκτικοί σχετικά με το πότε και πού παραδίδετε μια εικόνα ή σάρωση διπλώματος οδήγησης. Ρωτήστε εάν μια φυσική επιθεώρηση είναι επαρκής προτού συμφωνήσετε να ανεβάσετε μια φωτογραφία της ταυτότητάς σας σε μια εφαρμογή ή ιστότοπο. Όταν η ψηφιακή επαλήθευση είναι αναπόφευκτη, ελέγξτε εάν η εταιρεία αποκαλύπτει ποιος προμηθευτής επεξεργάζεται αυτά τα δεδομένα και αναζητήστε πολιτικές απορρήτου που προσδιορίζουν πόσο καιρό διατηρούνται τα αρχεία.

Αξίζει επίσης να αναζητάτε περιοδικά τις δικές σας πληροφορίες μαζί με όρους όπως το όνομά σας και "δίπλωμα οδήγησης" για να εντοπίσετε πρώιμα σημάδια έκθεσης, και να χρησιμοποιείτε υπηρεσίες παρακολούθησης ταυτότητας που παρακολουθούν ειδικά την κακή χρήση κρατικών ταυτοτήτων και όχι μόνο τους αριθμούς πιστωτικών καρτών.

Το Συμπέρασμα

Η έκθεση δεδομένων διπλώματος οδήγησης από την παραβίαση της IDScan δείχνει πόσο γρήγορα μια παραβίαση ενός μόνο προμηθευτή μπορεί να εξαπλωθεί σε μάρκες γνωστές σε κάθε νοικοκυριό. Οι πελάτες των Hertz, FedEx και Target δεν επέλεξαν να μοιραστούν τα δεδομένα τους με την IDScan.net, ωστόσο πολλοί αντιμετωπίζουν τώρα τους ίδιους κινδύνους σαν να το είχαν κάνει. Καθώς η επαλήθευση ταυτότητας γίνεται πιο συνηθισμένη στο διαδίκτυο και στα καταστήματα, το να μένετε σε εγρήγορση για το ποιοι προμηθευτές χειρίζονται τα έγγραφά σας, και να αντιστέκεστε όταν αυτό δεν είναι σαφές, είναι ένας από τους λίγους τρόπους με τους οποίους οι καταναλωτές μπορούν να αντισταθούν σε αυτή την αυξανόμενη επιφάνεια επίθεσης. Εάν έχετε συναλλαγεί με οποιαδήποτε από τις κατονομαζόμενες εταιρείες πρόσφατα, λάβετε τα προληπτικά μέτρα τώρα αντί να περιμένετε να φτάσει μια επίσημη επιστολή ειδοποίησης.