Naruszenie IDScan: Hakerzy kradli prawa jazdy na żywo przez rok

Roczna naruszenie IDScan, którego nikt nie zauważył

Nowe szczegóły dotyczące naruszenia danych IDScan sugerują, że incydent był znacznie poważniejszy niż pojedynczy atak typu „włam i wynieś”. Według doniesień, firma zajmująca się weryfikacją tożsamości wydaje się być skompromitowana przez cały rok, a atakujący po cichu wysysali prawa jazdy w czasie rzeczywistym, gdy te były przesyłane do systemu. Zamiast jednorazowej kradzieży statycznej bazy danych, wygląda to na ciągły, działający na żywo strumień skradzionych dokumentów tożsamości wypływających z serwerów IDScan przez dwanaście miesięcy, zanim ktokolwiek to zauważył.

Ten szczegół ma znaczenie. Oznacza, że każde prawo jazdy zeskanowane, zweryfikowane lub przechowywane przez IDScan w tym oknie czasowym — czy to do weryfikacji wieku u sprzedawcy, na platformie internetowej, czy w innej usłudze korzystającej z narzędzi firmy — mogło zostać przechwycone przez intruzów niemal natychmiast po wprowadzeniu do bazy danych. Jak wcześniej informowaliśmy, na dark webie pojawił się marketplace oferujący skany związane z około 153 milionami praw jazdy ze Stanów Zjednoczonych i Kanady, rzekomo pochodzące właśnie z tego naruszenia.

Dlaczego naruszenie „na żywo” jest gorsze niż migawka

Większość nagłośnionych naruszeń danych obejmuje pojedyncze zdarzenie ekstrakcji: atakujący włamują się, kopiują bazę danych i wychodzą. Sytuacja IDScan opisana tutaj jest inna. Jeśli hakerzy mieli ciągły dostęp przez rok, sugeruje to, że nie tylko kradli stare rekordy siedzące w magazynie. Przechwytywali świeże dokumenty, gdy prawdziwe osoby przesyłały je do weryfikacji wieku lub tożsamości, dzień po dniu, miesiąc po miesiącu.

Tego rodzaju trwały dostęp zwykle wskazuje na głębszą kompromitację niż nieprawidłowo skonfigurowany serwer czy pojedyncze skradzione poświadczenie. Rodzi to pytania o to, jak długo włamanie pozostało niewykryte i jakie monitorowanie, jeśli jakiekolwiek, było wdrożone, aby wychwycić nietypowe przepływy danych z systemu obsługującego tak wiele wrażliwych danych osobowych. IDScan stoi obecnie w obliczu wielu pozwów sądowych w związku z rzekomym naruszeniem, co szczegółowo opisaliśmy w naszym wcześniejszym omówieniu konsekwencji prawnych, a skala i czas trwania incydentu prawdopodobnie będą miały duże znaczenie w tych sprawach.

Szerszy obraz dla usług weryfikacji wieku

Firmy weryfikujące wiek, takie jak IDScan, znajdują się w niewygodnym punkcie przecięcia: istnieją właśnie po to, aby gromadzić i weryfikować dokumenty tożsamości wydawane przez państwo, często dla platform mających prawne obowiązki potwierdzania wieku użytkownika. Ten model biznesowy oznacza, że firmy te gromadzą ogromne zbiory praw jazdy, paszportów i innych wrażliwych identyfikatorów, co czyni je atrakcyjnymi celami dla cyberprzestępców.

Naruszenie IDScan to przypomnienie, że rosnąca presja na weryfikację wieku na stronach internetowych, w aplikacjach i u sprzedawców wiąże się z realnym kompromisem. Za każdym razem, gdy prawo jazdy jest skanowane, aby udowodnić, że ktoś jest wystarczająco dorosły, aby coś kupić lub uzyskać dostęp do usługi, dokument ten jest przechowywany, przetwarzany i potencjalnie narażony gdzieś w systemie strony trzeciej, do której użytkownik końcowy nie ma wglądu. Roczna, niewykryta kompromitacja w firmie stworzonej specjalnie do ochrony tego rodzaju danych podważa argument, że scentralizowana weryfikacja wieku jest z natury bezpieczniejsza niż alternatywy.

Co to oznacza dla Ciebie

Jeśli w ciągu ostatniego roku lub dłużej Twoje prawo jazdy zostało zeskanowane przez sprzedawcę, aplikację lub platformę internetową w celu weryfikacji wieku lub tożsamości, istnieje realna możliwość, że Twoje informacje przeszły przez systemy IDScan w oknie czasowym, gdy naruszenie było aktywne. Skradzione prawo jazdy to nie drobna niedogodność. To dokument łączący Twoje pełne imię i nazwisko, adres, datę urodzenia, zdjęcie i numer prawa jazdy, które to dane mogą zostać wykorzystane do kradzieży tożsamości, zakładania fałszywych kont lub ukierunkowanych ataków phishingowych.

W przeciwieństwie do wyciekłego hasła, numeru prawa jazdy nie można po prostu zresetować. To sprawia, że naruszenia takie jak to są szczególnie szkodliwe i mają długotrwałe konsekwencje.

Praktyczne wskazówki

• Sprawdź, czy któraś z platform, z których korzystałeś do weryfikacji wieku lub tożsamości, współpracowała z IDScan, i obserwuj wiadomości e-mail z powiadomieniami o naruszeniu.
• Monitoruj swoje raporty kredytowe i ustaw alerty dotyczące oszustw, jeśli uważasz, że dane Twojego prawa jazdy mogły zostać ujawnione.
• Zachowaj ostrożność wobec nieproszonych wiadomości e-mail lub telefonów odnoszących się do Twojego prawa jazdy, adresu lub daty urodzenia, ponieważ te szczegóły mogą zostać wykorzystane w przekonujących próbach phishingu.
• Rozważ zamrożenie swojego kredytu w głównych biurach informacji kredytowej, jeśli obawiasz się kradzieży tożsamości po naruszeniu danych IDScan.
• Pytaj każdą usługę, która wymaga weryfikacji tożsamości w przyszłości, jak długo przechowuje zeskanowane dokumenty i czy są one przechowywane u strony trzeciej, takiej jak IDScan.

Naruszenie IDScan podkreśla rosnące napięcie między wymogami weryfikacji wieku a ryzykiem bezpieczeństwa związanym z centralizacją wrażliwych dokumentów tożsamości w bazach danych stron trzecich. W miarę postępu procesów sądowych i ujawniania kolejnych szczegółów, incydent ten prawdopodobnie stanie się studium przypadku pokazującym, dlaczego czas trwania naruszenia i szybkość jego wykrycia są równie ważne jak liczba ujawnionych rekordów.