Jak podaje Cybernews, na ciemnym rynku rzekomo sprzedawane są skany 153 milionów praw jazdy, które mają pochodzić z naruszenia bezpieczeństwa w firmie weryfikacji tożsamości IDScan.net. FBI prowadzi obecnie dochodzenie w tej sprawie, która – jeśli się potwierdzi – będzie jednym z największych przypadków ujawnienia dokumentów tożsamości wydawanych przez organy państwowe w historii.

Co się stało: zarzuty dotyczące naruszenia bezpieczeństwa w IDScan

Zgodnie z doniesieniami, na platformie ciemnego internetu pojawiło się ogłoszenie oferujące cyfrowe skany praw jazdy, rzekomo pochodzące z IDScan.net, firmy świadczącej usługi weryfikacji tożsamości, z których korzystają przedsiębiorstwa w celu potwierdzania tożsamości klientów. Skala rzekomego naruszenia – 153 miliony rekordów – jest oszałamiająca nawet jak na standardy ostatnich dużych incydentów danych. Na razie dokładna metoda naruszenia, harmonogram ataku oraz pełny zakres osób dotkniętych nie zostały niezależnie potwierdzone. Zaangażowanie FBI sugeruje, że śledczy traktują te doniesienia wystarczająco poważnie, aby wszcząć formalne dochodzenie.

Skany praw jazdy to nie tylko imiona i nazwiska oraz adresy. Zazwyczaj zawierają zdjęcie, numer prawa jazdy, datę urodzenia, opis fizyczny, a czasem dane z kodu kreskowego, które kodują jeszcze więcej informacji osobistych. Gdy firmy weryfikujące tożsamość zbierają te dane, aby potwierdzić, kim jest dana osoba przed transakcją, stają się celami o wysokiej wartości właśnie dlatego, że gromadzą tak wiele wrażliwych materiałów w jednym miejscu.

Dlaczego 153 miliony praw jazdy ma tak ogromne znaczenie

Naruszenie danych praw jazdy wpisuje się w szerszy schemat działania grup przestępczych, które atakują organizacje posiadające skoncentrowane zasoby danych tożsamościowych – czy to dostawcę rozliczeń, kancelarię prawną, czy usługę weryfikacji tożsamości. Vpn.social opisywał podobne incydenty, w tym naruszenie ransomware MCBS, które ujawniło dane 1,3 mln pacjentów oraz kampanie wymuszeń, takie jak atak Luna Moth na kancelarie Jones Day i WilmerHale. Te przypadki, a także próby wymuszeń, takie jak żądanie okupu przez gang Everest od Stadler Rail, pokazują, że grupy przestępcze coraz częściej celują w organizacje, które pośredniczą w zaufanych transakcjach: firmy rozliczeniowe, doradców prawnych i weryfikatorów tożsamości.

Tym, co odróżnia naruszenie danych praw jazdy od wielu innych wycieków danych, jest trwałość zaangażowanych informacji. W przeciwieństwie do hasła czy nawet numeru karty kredytowej, numer prawa jazdy i zdjęcie nie mogą zostać po prostu zresetowane. Ofiary tego rodzaju ujawnienia danych mogą musieć współpracować z wydziałem komunikacji swojego stanu, aby ponownie wydać dokumenty, ale nawet wtedy podstawowe dane osobowe – imię i nazwisko, data urodzenia, opis fizyczny – pozostają naruszone w nieskończoność. To sprawia, że skradzione dane z praw jazdy są szczególnie atrakcyjne dla kradzieży tożsamości, oszustw z użyciem syntetycznej tożsamości oraz omijania procedur know-your-customer w bankach, na giełdach i w innych regulowanych usługach.

Co to oznacza dla Ciebie

Jeśli korzystałeś z usług weryfikacji tożsamości online – czy to w celu otwarcia konta finansowego, wynajmu samochodu, weryfikacji wieku, czy przeprowadzenia kontroli przeszłości – istnieje szansa, że dane Twojego prawa jazdy przeszły przez system podobny do tego, który rzekomo został naruszony. Ponieważ dochodzenie w sprawie naruszenia wciąż trwa, a IDScan.net – według dostępnych doniesień – nie wydała jeszcze pełnego publicznego potwierdzenia zakresu, osoby dotknięte mogą nie otrzymać bezpośredniego powiadomienia od razu.

Praktyczne ryzyko jest dwojakie. Po pierwsze, przestępcy mogą wykorzystać skradzione skany praw jazdy do podszywania się pod ofiary przy otwieraniu nowych kont lub przechodzeniu kontroli tożsamości opartych na weryfikacji dokumentów. Po drugie, w połączeniu z innymi wyciekniętymi danymi, takimi jak adresy e-mail czy numery telefonów, skan prawa jazdy daje oszustom prawie wszystko, czego potrzebują, aby przekonująco udawać kogoś innego.

Jak chronić się już teraz

W trakcie trwającego dochodzenia w sprawie tego rzekomego naruszenia IDScan możesz podjąć konkretne kroki, aby zmniejszyć swoje ryzyko:

  • Uważnie monitoruj swoje raporty kredytowe i wyciągi bankowe pod kątem kont lub zapytań, których nie rozpoznajesz.
  • Rozważ umieszczenie ostrzeżenia o oszustwie lub zamrożenie kredytu w głównych biurach informacji kredytowej, jeśli podejrzewasz, że Twoje dane mogły zostać uwzględnione w tym naruszeniu.
  • Zachowaj ostrożność wobec usług proszących o przesłanie zdjęcia prawa jazdy i pytaj dostawców, jak długo przechowują te dane oraz czy są one szyfrowane.
  • Uważaj na próby phishingu odwołujące się do danych osobowych, takich jak numer prawa jazdy czy data urodzenia, ponieważ oszuści często wykorzystują częściowe dane z naruszeń, aby fałszywe wiadomości wyglądały na wiarygodne.
  • Sprawdź, czy agencja ds. pojazdów silnikowych w Twoim stanie oferuje wytyczne lub opcje wymiany dokumentów, jeśli numer Twojego prawa jazdy został naruszony.

Rzekoma sprzedaż 153 milionów praw jazdy powiązanych z IDScan to przypomnienie, że weryfikacja tożsamości, mająca chronić konsumentów, sama w sobie może stać się zagrożeniem, gdy firmy ją wykonujące padną ofiarą naruszenia. W miarę postępu dochodzenia FBI prawdopodobnie pojawi się więcej szczegółów na temat zakresu i metody tego incydentu. Do tego czasu traktowanie numeru prawa jazdy z taką samą ostrożnością, jaką stosujesz wobec numeru ubezpieczenia społecznego, jest rozsądnym środkiem ostrożności. Czujność wobec nietypowej aktywności na kontach teraz jest znacznie łatwiejsza niż rozplątywanie kradzieży tożsamości później.