Hva skjedde: forklaringen på lekkasjen av 153 millioner førerkort

Et marked på det mørke nettet skal visstnok selge digitale skanninger av mer enn 153 millioner førerkort som tilhører innbyggere i USA og Canada, og FBI skal etter sigende etterforske saken. Ifølge rapporteringen som først avslørte historien, dukket tjenesten, omtalt i dekningen som «Nexus», opp denne uken og tilbød bulk-tilgang til skannede identitetsdokumenter til alle som var villige til å betale.

Omfanget av eksponeringen er det som gjør denne hendelsen spesiell. Ars Technicas redegjørelse av lekkasjen åpner med en personlig, urovekkende detalj: en sjåfør leide en bil, og i løpet av timer var førerkortet deres allerede lagt ut for salg på den nye nettsiden på det mørke nettet. Den type rask snuoperasjon, fra en vanlig hverdagstransaksjon til et dokument som dukker opp i et kriminelt marked, er akkurat hvorfor denne lekkasjen vekker så mye oppmerksomhet. Det tyder på at lekkasjen ikke kom fra en enkelt uaktsom person, men fra et sted høyere opp i kjeden — en virksomhet eller tjeneste som håndterer identitetsdokumenter som en del av sin normale drift.

Rapporter som knytter de lekkede dataene til kilden, peker mot IDScan.net, et selskap hvis skanningsteknologi brukes av virksomheter som bilutleiefirmaer, hoteller og andre tjenester som raskt må verifisere en kundes identitet ved utsjekk. Hvis den koblingen holder stikk, vil det forklare hvorfor ofre beskriver at førerkortet deres ble eksponert nesten umiddelbart etter en rutinemessig utleie eller innsjekking, lenge før de hadde noen grunn til å mistenke at informasjonen deres var i fare.

Hvordan datameglere og ID-verifiseringstjenester blir mål for datainnbrudd

Denne lekkasjen illustrerer et strukturelt problem som går langt utover ethvert enkelt selskap. Virksomheter outsourcer i økende grad identitetsverifisering til tredjeparts skanning- og datameglertjenester i stedet for å bygge den infrastrukturen selv. Det er effektivt, men det betyr også at en enkelt leverandør kan ende opp med å oppbevare sensitive identitetsdokumenter samlet inn fra dusinvis eller hundrevis av uavhengige virksomheter. Når den leverandøren blir kompromittert, er ikke skaden begrenset til én bedrifts kundeliste; den sprer seg til alle virksomheter som stolte på leverandøren.

Dette er et mønster som har dukket opp gjentatte ganger i nyere varsler om datainnbrudd. Datainnbruddet hos Paidwork som eksponerte 23 millioner brukerposter og ShinyHunters-datainnbruddet som rammet Inter-Con Security viser begge hvor raskt stjålne data beveger seg fra et enkelt kompromittert system til forum og markedsplasser hvor de blir tilgjengelige for alle. Selv datainnbrudd som ikke stammer fra ondsinnet hacking, som CISA-entreprenør-hendelsen som lekket AWS-nøkler og passord på et offentlig GitHub-repositorium, viser hvor skjøre disse back-end-systemene kan være når sensitive data skifter hender eller lagres et sted de ikke burde.

Et førerkort er et spesielt verdifullt mål for kriminelle fordi det kombinerer et bilde, et juridisk navn, en fødselsdato, en adresse og et statsutstedt dokumentnummer i ett bilde. Det er nok til å bestå et overraskende antall identitetssjekker, åpne uredelige kontoer, eller støtte syntetiske identitetssvindelordninger som kan ta ofre måneder å rydde opp i.

Umiddelbare skritt for å beskytte identiteten din etter en førerkortlekkasje

Hvis du har leid en bil, sjekket inn på et hotell, eller brukt en tjeneste som skannet førerkortet ditt de siste månedene, er det verdt å behandle identiteten din som potensielt eksponert til du vet mer. Noen konkrete skritt kan redusere risikoen din med en gang:

  • Legg inn et svindelvarsel eller en kredittsperre hos de store kredittopplysningsbyråene, slik at nye kontoer ikke kan åpnes i navnet ditt uten ekstra verifisering.
  • Kontakt statens motorvognmyndighet (DMV) for å spørre om utstedelse av nytt førerkortnummer hvis du har grunn til å tro at ditt var inkludert i lekkasjen.
  • Følg nøye med på bank- og kredittkortutskriftene dine for ukjente belastninger, spesielt små testtransaksjoner som ofte kommer før større svindel.
  • Vær forsiktig med uventede samtaler, tekstmeldinger eller e-poster som refererer til personlige detaljer fra førerkortet ditt, siden svindlere ofte bruker lekkede data for å få phishing-forsøk til å høres overbevisende ut.

Ingen av disse skrittene krever spesiell teknisk kunnskap, og å gjøre dem nå koster langt mindre tid enn å rydde opp i identitetstyveri i etterkant.

Hvorfor løpende overvåking og personvernverktøy betyr noe utover denne lekkasjen

Datainnbruddet med 153 millioner førerkort er en påminnelse om at identitetsbeskyttelse ikke kan være en engangsoppgave. Varslingstjenester for datainnbrudd lar deg sjekke om informasjonen din har dukket opp i kjente lekkasjer, og det er verdt å gå tilbake til dem jevnlig i stedet for å sjekke én gang og gå videre. Gitt hvor ofte disse hendelsene gjentar seg, og hvor mange forskjellige leverandører og plattformer som kan bli rammet, er løpende overvåking nå en grunnleggende del av å håndtere personlig risiko på nettet, sammen med mer kjente vaner som å bruke unike passord og aktivere tofaktorautentisering der det tilbys.

Hva Dette Betyr For Deg

Hvis du nylig har gitt en fysisk eller skannet kopi av førerkortet ditt til et utleiefirma, et hotell eller en verifiseringstjeneste, behandl denne lekkasjen som et signal om å sjekke eksponeringen din, ikke som en grunn til panikk. Virksomhetene du samhandler direkte med, er ikke alltid de som er ansvarlige for en lekkasje, siden den reelle sårbarheten ofte ligger hos en tredjepartsleverandør som behandler dataene dine i bakgrunnen.

Viktige Punkter

  • En tjeneste på det mørke nettet skal visstnok selge skanninger av 153 millioner førerkort knyttet til innbyggere i USA og Canada, med FBI som skal etterforske saken.
  • Lekkasjen ser ut til å være knyttet til en identitetsverifiseringsleverandør som brukes av utleie- og gjestfrihetsvirksomheter, ikke en enkelt forhandler.
  • Frys kreditten din, følg med på kontoene dine, og kontakt DMV hvis du mistenker at førerkortet ditt ble rammet.
  • Gjør bruddsjekker og kontoovervåking til en tilbakevendende vane, ikke en engangsrespons på denne hendelsen.