Rechtszaken volgen op vermeend datalek bij identiteitsverificatiebedrijf

Er zijn meerdere rechtszaken aangespannen tegen IDScan, een identiteitsverificatiebedrijf, nadat hackers naar verluidt de dienst hebben doorbroken en hebben aangeboden om meer dan 153 miljoen rijbewijzen te verkopen. De juridische stappen volgen op berichten dat scans van deze door de overheid uitgegeven identiteitsbewijzen, mogelijk inclusief gevoelige persoonlijke gegevens, te koop zijn aangeboden, wat serieuze vragen oproept over hoe bedrijven die identiteitsverificatiegegevens verwerken, de informatie die zij verzamelen beschermen.

IDScan wordt door bedrijven gebruikt om klantidentiteiten te verifiëren, vaak door rijbewijzen te scannen tijdens leeftijdsverificatie, accountaanmaak of fraudepreventiecontroles. Dat betekent dat de blootgestelde gegevens waarschijnlijk niet alleen namen en adressen omvatten, maar ook het soort documentbeelden dat kan worden gebruikt om overtuigende neppe ID's te maken of elders identiteitscontroles te omzeilen. Voor een diepere blik op hoe dit datalek voor het eerst werd gerapporteerd, behandelt onze eerdere berichtgeving over het vermeende IDScan-datalek de initiële onthulling en de omvang van de blootstelling.

De rechtszaken weerspiegelen een groeiende juridische trend: wanneer bedrijven op grote schaal gevoelige identiteitsdocumenten verzamelen en deze niet weten te beveiligen, worden zij steeds vaker geconfronteerd met class action-rechtszaken van getroffen individuen. Of deze claims succesvol zullen zijn, hangt af van details die nog steeds naar boven komen, waaronder hoe het datalek heeft plaatsgevonden en welke beveiligingsmaatregelen IDScan had getroffen.

Waarom een rijbewijs-datalek anders is dan een wachtwoordlek

De meeste mensen zijn gewend om te horen over datalekken met e-mailadressen of wachtwoorden. Die zijn erg, maar ze kunnen worden gewijzigd. Een rijbewijs kan niet met een paar klikken worden gereset. Als uw rijbewijsafbeelding, nummer en persoonlijke gegevens worden blootgesteld, kunnen die gegevens jarenlang worden gebruikt.

Gestolen scans van rijbewijzen zijn bijzonder waardevol voor criminelen omdat ze een foto-ID, een naam, een adres, een geboortedatum en vaak een rijbewijsnummer combineren, allemaal details die identiteitsdiefstal, frauduleuze accountaanvragen of synthetische identiteitsfraude kunnen ondersteunen. In tegenstelling tot een creditcardnummer, dat een bank kan annuleren en opnieuw kan uitgeven, verandert een rijbewijsnummer dat aan uw daadwerkelijke identiteitsdocument is gekoppeld niet, tenzij u via de RDW van uw staat een nieuw exemplaar aanvraagt, een proces waar de meeste mensen na een datalek nooit aan denken.

Dit is mede de reden waarom datalekken bij identiteitsverificatie meer aandacht en steeds vaker meer rechtszaken trekken dan typische inloggegevenslekken. De gegevens vervallen niet en de kans op langdurig misbruik is groter.

Wat dit voor u betekent

Als u ooit uw rijbewijs heeft laten scannen door een bedrijf, of het nu voor leeftijdsverificatie bij een winkelier, een huurauto-overeenkomst of een online accountaanmelding was, is er een kans dat uw informatie op een bepaald moment deel uitmaakt van een soortgelijke blootstelling, zelfs als u niet door dit specifieke incident bent getroffen. Een paar praktische stappen kunnen uw risico in de toekomst verminderen:

Bewaak uw identiteit, niet alleen uw krediet. Veel kredietbewakingsdiensten bieden nu ook identiteitsbewaking aan die in de gaten houdt of uw rijbewijsnummer in datalekgegevens of op dark web-marktplaatsen verschijnt. Dit is de moeite waard om te controleren als u niet zeker weet of uw informatie is blootgesteld.

Beperk onnodige ID-scans. Vraag waar mogelijk of een bedrijf echt uw fysieke rijbewijs moet scannen of dat een visuele controle voldoende is. Niet elke leeftijds- of identiteitsverificatie vereist dat uw document wordt gekopieerd en opgeslagen in een database.

Gebruik sterke, unieke wachtwoorden en een wachtwoordmanager. Hoewel dit datalek zich richt op documentscans in plaats van inloggegevens, leggen datalekken vaak meerdere soorten gegevens tegelijk bloot. Een wachtwoordmanager zorgt ervoor dat zelfs als één account is gecompromitteerd, andere accounts beschermd blijven met unieke inloggegevens.

Overweeg een VPN voor dagelijks browsen. Een VPN zal niet voorkomen dat een bedrijf waarmee u interactie heeft gehad wordt doorbroken, maar het vermindert wel de hoeveelheid persoonlijke gegevens die u blootstelt tijdens het browsen, winkelen of invullen van formulieren online, waardoor uw algehele digitale voetafdruk wordt beperkt en het voor derden moeilijker wordt om een profiel op te bouwen dat aan uw identiteit is gekoppeld.

Let op phishing-pogingen. Gestolen rijbewijsgegevens worden vaak gecombineerd met andere informatie om overtuigende frauduleuze berichten op te stellen. Wees voorzichtig met onverwachte e-mails of sms'jes die verwijzen naar persoonlijke gegevens, zelfs als ze afkomstig lijken te zijn van bekende organisaties.

Het grotere plaatje van identiteitsverificatiediensten

Deze zaak benadrukt een spanning in het hart van moderne identiteitsverificatie: bedrijven willen snel en betrouwbaar bevestigen wie u bent, maar dat doen betekent vaak het creëren van grote, gecentraliseerde databases met gevoelige documenten. Wanneer die databases worden doorbroken, reiken de gevolgen veel verder dan het betrokken bedrijf en raken ze iedereen wiens informatie ooit daarin is opgeslagen.

Naarmate de rechtszaken tegen IDScan vorderen, zullen waarschijnlijk meer details naar boven komen over hoe het datalek heeft plaatsgevonden en welke gegevens daadwerkelijk zijn benaderd. In de tussentijd dient het incident als een herinnering dat zelfs diensten die zijn ontworpen om identiteit te verifiëren en beschermen een single point of failure kunnen worden.

Voorlopig is de meest effectieve reactie een persoonlijke. Het verminderen van hoeveel van uw identiteitsgegevens online circuleren, het monitoren op tekenen van misbruik en het gebruiken van privacyhulpmiddelen zoals wachtwoordmanagers en VPN's zullen een datalek niet stoppen, maar ze kunnen de schade beperken als uw informatie in verkeerde handen terechtkomt. Terwijl dit verhaal over het rijbewijs-datalek zich blijft ontwikkelen, blijven goed geïnformeerd en proactief zijn de beste verdediging die consumenten hebben.