IDScan bevestigt lek dat rijbewijsgegevens treft

Identiteitsverificatiebedrijf IDScan heeft een datalek bevestigd waardoor mogelijk rijbewijs- en andere overheidsidentificatiegegevens van maar liefst 150 miljoen records zijn blootgesteld. Het bedrijf levert technologie voor het scannen van identiteitsbewijzen en leeftijdsverificatie die wordt gebruikt door winkels, autoverhuurbedrijven en andere bedrijven om klantidentificatie te controleren. Dat betekent dat de gevolgen van dit lek veel verder reiken dan de klantenlijst van IDScan zelf.

Dit lek is niet alleen belangrijk vanwege de schaal, maar ook vanwege wat er is blootgesteld. Rijbewijsgegevens bevatten doorgaans je volledige naam, geboortedatum, adres, rijbewijsnummer en in veel gevallen een foto. Dat is een combinatie van gegevens die kan worden gebruikt om je te imiteren, frauduleuze accounts te openen of identiteitscontroles te doorstaan die afhankelijk zijn van het matchen van persoonlijke informatie. Anders dan bij een wachtwoord kun je je geboortedatum of je gezicht niet zomaar opnieuw instellen.

Waarom dit lek anders is dan een typisch wachtwoordlek

De meeste datalekken betreffen inloggegevens, e-mailadressen of betaalkaartnummers, die allemaal kunnen worden gewijzigd of geannuleerd als ze zijn gecompromitteerd. Overheidsidentificatiegegevens werken niet zo. Als je rijbewijsgegevens worden blootgesteld, blijven die gegevens jarenlang geldig en bruikbaar voor criminelen, omdat het vervangen van een rijbewijsnummer of het wijzigen van je geboortedatum voor de meeste mensen geen realistische optie is.

Zoals eerder gemeld is het lek al in verband gebracht met grote bedrijven die vertrouwen op de verificatiediensten van IDScan, waaronder Hertz, FedEx en Target. Omdat de technologie van IDScan is ingebed in de identiteitscontroleprocessen van deze bedrijven, kunnen klanten die nooit rechtstreeks met IDScan zelf te maken hebben gehad, toch gegevens hebben laten verzamelen en blootstellen via een scan bij de kassa, bij een autoverhuurbalie of bij een bezorgverificatiestap.

Dit is een veelvoorkomende maar vaak over het hoofd geziene realiteit van moderne gegevensverwerking: consumenten overhandigen regelmatig gevoelige documenten aan een winkelier of dienstverlener zonder te beseffen dat een externe leverancier, en niet het bedrijf waarmee ze rechtstreeks zaken doen, die gegevens daadwerkelijk verwerkt en opslaat.

Wat dit voor jou betekent

Als je rijbewijs de afgelopen jaren is gescand bij een grote winkelketen, autoverhuurbedrijf of verzendbedrijf, is er een redelijke kans dat je gegevens deel uitmaken van deze blootstelling, zelfs als je nog nooit van IDScan had gehoord voordat dit lek in het nieuws kwam.

De praktische risico's zijn onder meer identiteitsdiefstal, frauduleuze accountopeningen en pogingen om je gestolen identiteitsgegevens te gebruiken om elders verificatiecontroles te doorstaan. Omdat rijbewijsnummers vaak worden gebruikt als secundaire vorm van identificatie voor financiële instellingen, overheidsdiensten en huurovereenkomsten, kunnen blootgestelde records veel breder worden misbruikt dan alleen voor eenvoudige kredietfraude.

Dit kun je doen als je je zorgen maakt dat je gegevens mogelijk zijn getroffen:

  • Controleer je kredietrapporten op nieuwe accounts of aanvragen die je niet herkent. Je hebt recht op gratis kredietrapporten, en ze regelmatig controleren is een van de effectiefste manieren om fraude vroeg op te sporen.
  • Overweeg een kredietbevriezing bij de grote kredietbureaus, waardoor er geen nieuwe accounts meer op jouw naam kunnen worden geopend zonder jouw uitdrukkelijke goedkeuring.
  • Let op verdachte post of berichten, waaronder rekeningen voor accounts die je nooit hebt geopend of meldingen over aanvragen die je niet hebt ingediend.
  • Wees voorzichtig met ongevraagde communicatie waarin je wordt gevraagd persoonlijke gegevens te verifiëren, omdat gelekte gegevens vaak worden gebruikt om phishingpogingen geloofwaardiger te maken.
  • Controleer of je rijbewijsautoriteit een wijziging van het ID-nummer toestaat in gevallen van bevestigde identiteitsdiefstal; sommige staten hebben hiervoor procedures, hoewel dat niet altijd eenvoudig is.

De controle terugnemen na een grootschalig ID-lek

Lekken waarbij overheidsidentificatiegegevens betrokken zijn, zijn moeilijker te boven te komen dan typische gelekte inloggegevens, juist omdat de informatie niet kan worden gereset zoals een wachtwoord. Dat maakt proactieve monitoring en snel handelen des te belangrijker. Als je onlangs zaken hebt gedaan met een van de winkels of bedrijven die met dit incident in verband worden gebracht, is het de moeite waard om nu een paar minuten te nemen om je kredietrapporten te bekijken en meldingen in te stellen, in plaats van te wachten tot er een probleem opduikt.

Het IDScan-lek is een herinnering dat identiteitsverificatiesystemen, bedoeld om bedrijven tegen fraude te beschermen, zelf een single point of failure kunnen worden wanneer ze niet adequaat beveiligd zijn. Naarmate meer bedrijven vertrouwen op externe leveranciers om gevoelige identificatiedocumenten te scannen en op te slaan, houden consumenten minder zicht op waar hun meest gevoelige gegevens zich daadwerkelijk bevinden.

Waakzaam blijven, krediet bevriezen waar gepast, en letten op tekenen van misbruik zijn de effectiefste stappen die je nu kunt nemen. Als je meer achtergrond wilt over hoe dit lek zich heeft ontvouwd en welke bedrijven tot nu toe zijn genoemd, biedt de eerdere berichtgeving over de connectie met Hertz, FedEx en Target nuttige context over hoe de blootstelling zich over meerdere sectoren heeft verspreid.