Una violazione IDScan durata un anno e passata inosservata

Nuovi dettagli emergono sulla violazione dei dati di IDScan e suggeriscono che l'incidente sia stato molto più grave di un semplice attacco hacker isolato. Secondo le segnalazioni, l'azienda di verifica dell'identità sembra essere stata compromessa per un intero anno, con gli aggressori che hanno sottratto silenziosamente le patenti di guida in tempo reale mentre venivano caricate nel sistema. Più che un furto una tantum di un database statico, questa appare come una pipeline prolungata e in diretta di documenti d'identità rubati che sono usciti dai server di IDScan per dodici mesi prima che qualcuno se ne accorgesse.

Questo dettaglio è importante. Significa che ogni licenza scansionata, verificata o archiviata da IDScan in quella finestra temporale, che fosse per la verifica dell'età presso un rivenditore, una piattaforma online o un altro servizio che faceva affidamento sugli strumenti dell'azienda, potrebbe essere stata catturata dagli intrusi quasi appena entrava nel database. Come abbiamo già riportato, è emerso un marketplace del dark web che offriva scansioni legate a circa 153 milioni di patenti di guida da Stati Uniti e Canada, presumibilmente provenienti da questa stessa violazione.

Perché una violazione "in diretta" è peggiore di un'istantanea

La maggior parte delle violazioni dei dati che finiscono sui titoli dei giornali comporta un singolo evento di estrazione: gli aggressori entrano, copiano un database e se ne vanno. La situazione di IDScan qui descritta è diversa. Se gli hacker hanno avuto accesso continuo per un anno, ciò suggerisce che non stavano solo rubando vecchi record in archivio. Stavano catturando documenti freschi mentre persone reali li inviavano per la verifica dell'età o dell'identità, giorno dopo giorno, mese dopo mese.

Questo tipo di accesso persistente di solito indica una compromissione più profonda rispetto a un server configurato male o a una singola credenziale rubata. Solleva domande su quanto tempo l'intrusione sia rimasta non rilevata e su quale monitoraggio, se presente, fosse in atto per intercettare flussi di dati anomali da un sistema che gestisce una quantità così elevata di informazioni personali sensibili. IDScan deve ora affrontare multiple cause legali per la presunta violazione, come dettagliato nella nostra copertura precedente delle conseguenze legali, e la portata e la durata dell'incidente probabilmente giocheranno un ruolo importante in quei casi.

Il quadro più ampio per i servizi di verifica dell'età

Le aziende di verifica dell'età come IDScan si trovano in un'intersezione scomoda: esistono proprio per raccogliere e verificare documenti d'identità rilasciati dal governo, spesso per piattaforme con obblighi legali di confermare l'età di un utente. Quel modello di business significa che queste aziende accumulano enormi quantità di patenti di guida, passaporti e altri identificatori sensibili, rendendole bersagli di alto valore per i cybercriminali.

La violazione di IDScan è un promemoria che la crescente spinta verso la verifica dell'età su siti web, app e rivenditori comporta un vero compromesso. Ogni volta che una patente di guida viene scansionata per dimostrare che qualcuno è abbastanza grande per acquistare qualcosa o accedere a un servizio, quel documento viene archiviato, elaborato e potenzialmente esposto da qualche parte in un sistema di terze parti su cui l'utente finale non ha alcuna visibilità. Una compromissione durata un anno e mai rilevata in un'azienda costruita specificamente per salvaguardare questo tipo di dati mina l'argomentazione secondo cui la verifica centralizzata dell'età sia intrinsecamente più sicura delle alternative.

Cosa significa per te

Se la tua patente di guida è stata scansionata da un rivenditore, un'app o una piattaforma online per scopi di verifica dell'età o dell'identità in qualsiasi momento nell'ultimo anno o più, c'è una reale possibilità che le tue informazioni siano passate attraverso i sistemi di IDScan durante la finestra in cui questa violazione era attiva. Una patente di guida rubata non è un piccolo inconveniente. È un documento che combina il tuo nome completo, indirizzo, data di nascita, foto e numero di patente, tutti elementi che possono essere usati per furto d'identità, creazione fraudolenta di account o attacchi di phishing mirati.

A differenza di una password trapelata, non puoi semplicemente resettare il numero della patente di guida. Questo rende violazioni come questa particolarmente dannose e di lunga durata nelle loro conseguenze.

Azioni pratiche da intraprendere

  • Verifica se qualsiasi piattaforma che hai usato per la verifica dell'età o dell'identità lavorava con IDScan e controlla le email di notifica di violazione.
  • Monitora i tuoi report di credito e attiva avvisi di frode se ritieni che i dati della tua patente possano essere stati esposti.
  • Diffida di email o chiamate non richieste che fanno riferimento alla tua patente, al tuo indirizzo o alla tua data di nascita, poiché questi dettagli potrebbero essere usati in tentativi di phishing convincenti.
  • Considera di congelare il tuo credito presso le principali agenzie se sei preoccupato per il furto d'identità dopo la violazione dei dati di IDScan.
  • Chiedi a qualsiasi servizio che richiede la verifica dell'ID d'ora in poi per quanto tempo conservano i documenti scansionati e se vengono archiviati con una terza parte come IDScan.

La violazione di IDScan sottolinea una tensione crescente tra i requisiti di verifica dell'età e i rischi per la sicurezza di centralizzare documenti d'identità sensibili in database di terze parti. Mentre le cause legali procedono e emergono più dettagli, questo incidente potrebbe diventare un caso di studio sul perché la durata e la velocità di rilevamento di una violazione contano tanto quanto il numero di record esposti.