Egy dark web piactér állítólag 153 millió jogosítvány szkennelt másolatát kínálja eladásra, amelyek állítólag az IDScan.net identitás-ellenőrző vállalatnál történt adatvédelmi incidenshez köthetők a Cybernews beszámolója szerint. Az FBI jelenleg vizsgálja az esetet, amely – ha megerősítést nyer – a kormány által kiállított személyazonosító okmányok eddigi egyik legnagyobb mértékű nyilvánosságra kerülése lenne.

Mi történt: Az IDScan adatvédelmi incidens állításai

A beszámoló szerint egy dark web platformon megjelent egy lista, amely jogosítványok digitális szkennelt másolatait kínálja, állítólag az IDScan.net-től származtatva, amely olyan identitás-ellenőrzési szolgáltatásokat nyújtó vállalat, amelyet cégek használnak ügyfeleik személyazonosságának megerősítésére. Az állítólagos incidens mértéke – 153 millió rekord – még a közelmúlt nagyszabású adateseményeinek mércéjével mérve is megrázó. Jelenleg a kompromittálódás pontos módszere, az incidens idővonala és az érintett személyek teljes köre független megerősítést nem nyert. Az FBI részvétele arra utal, hogy a nyomozók elég komolyan veszik az állításokat ahhoz, hogy hivatalos vizsgálatot indítsanak.

A jogosítványszkennelt másolatok nem csupán neveket és címeket tartalmaznak. Általában tartalmaznak fényképet, jogosítványszámot, születési dátumot, fizikai leírást, és néha vonalkód-adatokat, amelyek még több személyes információt kódolnak. Amikor az identitás-ellenőrző vállalatok ezeket az adatokat gyűjtik, hogy egy tranzakció előtt megerősítsék valaki személyazonosságát, pontosan azért válnak nagy értékű célpontokká, mert ilyen sok érzékeny anyagot halmoznak fel egy helyen.

Miért számít annyira a 153 millió jogosítvány

A jogosítvány-adatvédelmi incidens egy szélesebb mintába illeszkedik: bűnözői csoportok olyan szervezeteket céloznak, amelyek koncentrált identitásadat-készleteket tartanak, legyen az számlázó szolgáltató, ügyvédi iroda vagy identitás-ellenőrző szolgáltatás. A Vpn.social hasonló eseteket ismertetett, köztük az MCBS zsarolóvírus-incidenst, amely 1,3 millió páciens adatait szivárogtatta ki, valamint zsarolási kampányokat, mint például a Luna Moth támadását a Jones Day és WilmerHale ügyvédi irodák ellen. Ezek az esetek – valamint az olyan zsarolási kísérletek, mint az Everest banda váltságdíj-követelése a Stadler Rail ellen – azt mutatják, hogy a bűnözői csoportok egyre inkább olyan szervezeteket támadnak, amelyek a bizalmon alapuló tranzakciók közepén helyezkednek el: számlázó cégeket, jogi tanácsadókat és identitás-ellenőrzőket.

Ami megkülönbözteti a jogosítvány-adatvédelmi incidenst sok más adatszivárgástól, az az érintett információ állandósága. Ellentétben egy jelszóval vagy akár egy hitelkártyaszámmal, a jogosítványszám és a fénykép nem egyszerűen „visszaállítható". Az ilyen típusú kitettség áldozatainak szükségük lehet arra, hogy együttműködjenek államuk gépjármű-felügyeleti hatóságával az okmányok újrakiadása érdekében, és még akkor is az alapul szolgáló személyes adatok – név, születési dátum, fizikai leírás – határozatlan ideig kompromittáltak maradnak. Ez teszi a lopott jogosítványadatokat különösen vonzóvá az identitáslopás, a szintetikus identitás-csalás és a bankok, tőzsdék és más szabályozott szolgáltatások ügyfél-ellenőrzési (know-your-customer) ellenőrzéseinek megkerülése szempontjából.

Mit jelent ez az Ön számára

Ha használt már online identitás-ellenőrző szolgáltatásokat – akár pénzügyi számla nyitásához, autóbérléshez, életkor-ellenőrzéshez vagy háttérellenőrzés elvégzéséhez –, fennáll annak a lehetősége, hogy jogosítványadatai áthaladtak egy olyan rendszeren, amely hasonló az itt állítólagosan kompromittált rendszerhez. Mivel az incidenst még vizsgálják, és az IDScan.net a rendelkezésre álló beszámolók szerint nem adott ki teljes nyilvános megerősítést a hatókörről, az érintett személyek nem feltétlenül kapnak azonnali közvetlen értesítést.

A gyakorlati kockázat kettős. Először is, a bűnözők lopott jogosítványszkennelt másolatokat használhatnak az áldozatok impersonálására új számlák nyitásakor vagy olyan identitás-ellenőrzések átlépésekor, amelyek dokumentum-ellenőrzésre támaszkodnak. Másodszor, más kiszivárgott adatokkal – például e-mail-címekkel vagy telefonszámokkal – kombinálva egy jogosítványszkennelt másolat szinte mindent megad a csalóknak ahhoz, hogy meggyőzően adják ki magukat valaki másnak.

Hogyan védje meg magát most azonnal

Miközben az állítólagos IDScan-incidens vizsgálata folytatódik, vannak konkrét lépések, amelyeket megtehet kitettségének csökkentése érdekében:

  • Kísérje figyelemmel hiteljelentéseit és bankszámlakivonatait, hogy észlelje az Ön által nem ismert számlákat vagy lekérdezéseket.
  • Fontolja meg csalásriasztás vagy hitelzárolás elhelyezését a főbb hitelirodáknál, ha gyanítja, hogy adatai szerepelhettek ebben az incidensben.
  • Legyen óvatos az olyan szolgáltatásokkal, amelyek jogosítványáról készült fénykép feltöltését kérik, és kérdezze meg a szolgáltatóktól, meddig őrzik meg ezeket az adatokat, és hogy azok titkosítottak-e.
  • Figyeljen az olyan adathalász kísérletekre, amelyek személyes adatokra – például jogosítványszámára vagy születési dátumára – hivatkoznak, mivel a csalók gyakran használnak részleges adatszivárgási adatokat, hogy a csalárd üzenetek hitelesnek tűnjenek.
  • Ellenőrizze, hogy állama gépjármű-felügyeleti ügynöksége kínál-e útmutatást vagy cserelehetőségeket, ha jogosítványszáma kompromittálódott.

A 153 millió, az IDScanhez köthető jogosítvány állítólagos eladása emlékeztető arra, hogy az identitás-ellenőrzés – amely a fogyasztók védelmét hivatott szolgálni – maga is felelősséggé válhat, amikor az azt végző vállalatok adatvédelmi incidenst szenvednek. Ahogy az FBI vizsgálata kibontakozik, valószínűleg további részletek derülnek ki az eset hatóköréről és módszeréről. Addig is ésszerű óvintézkedés a jogosítványszámát ugyanolyan óvatossággal kezelni, mint egy társadalombiztosítási számot. A szokatlan számlatevékenységre való éberség most sokkal könnyebb, mint később az identitáslopás útvesztőjét kibogozni.