Co potwierdził IDScan.net i jakie dane wyciekły

Firma IDScan.net z siedzibą w Luizjanie, zajmująca się weryfikacją tożsamości, potwierdziła naruszenie danych, które według doniesień jest powiązane z marketplace'em w dark webie sprzedającym skany ponad 153 milionów amerykańskich i kanadyjskich praw jazdy. Potwierdzenie ze strony firmy następuje po tygodniach doniesień o przestępczym ogłoszeniu oferującym masowy dostęp do dokumentów tożsamości wydanych przez rząd, w tym pełnych imion i nazwisk oraz zdjęć praw jazdy, i nadaje nazwę oraz skalę historii, która wcześniej krążyła głównie wśród badaczy bezpieczeństwa i monitoringu dark webu.

IDScan.net tworzy narzędzia do weryfikacji tożsamości i weryfikacji wieku używane przez sprzedawców detalicznych, bary i inne firmy do skanowania i walidacji dokumentów tożsamości wydanych przez rząd w punkcie transakcji. Taki model biznesowy oznacza, że firma przetwarza i przechowuje ogromne ilości danych z praw jazdy w imieniu swoich klientów — dokładnie taki rodzaj scentralizowanego repozytorium, które staje się atrakcyjnym pojedynczym celem dla atakujących. Gdy firma taka jak ta zostaje zhakowana, skutki nie ograniczają się do jednego przedsiębiorstwa. Rozchodzą się na każdego sprzedawcę detalicznego, obiekt i platformę, które polegały na IDScan.net przy sprawdzaniu dokumentu tożsamości klienta, oraz na każdą osobę, której prawo jazdy zostało zeskanowane jako rutynowa część zakupu produktów objętych ograniczeniami wiekowymi.

Dlaczego naruszenia danych praw jazdy są trudniejsze do naprawienia niż wycieki haseł

Zhakowane hasło jest uciążliwe, ale do naprawienia. Zmieniasz je, włączasz uwierzytelnianie dwuskładnikowe i idziesz dalej. Zhakowane prawo jazdy to zupełnie inny problem. Dokument zawiera legalne imię i nazwisko, datę urodzenia, adres domowy, numer prawa jazdy i często fotografię, a żadnego z tych elementów nie można po prostu zresetować. Ofiary wycieku danych z prawa jazdy zazwyczaj muszą przejść przez proces w stanowej lub prowincjonalnej agencji ds. pojazdów mechanicznych, aby poprosić o nowy numer prawa jazdy — proces, który zajmuje czas i nie usuwa wyciekłego skanu znajdującego się na przestępczym marketplace'ie.

Ta trwałość sprawia, że tego rodzaju naruszenie jest szczególnie cenne dla oszustów. Skradziony obraz prawa jazdy może zostać wykorzystany do otwierania kont finansowych, przechodzenia weryfikacji tożsamości w innych firmach lub wspierania oszustw związanych z syntetyczną tożsamością, które łączą prawdziwe dane osobowe ze sfabrykowanymi informacjami. To nie pierwszy raz, gdy repozytorium rządowych dokumentów tożsamości zostało naruszone na dużą skalę. Naruszenie youX w Australii wymusiło ogólnokrajowe ponowne wydanie praw jazdy, a naruszenie ANTS we Francji ujawniło miliony kont powiązanych z krajowymi dokumentami tożsamości i prawami jazdy. Incydent z IDScan.net wpisuje się w ten sam wzorzec: scentralizowany system weryfikacji tożsamości przechowujący wrażliwe dokumenty milionów ludzi, naruszony raz, ze skutkami trwającymi znacznie dłużej niż samo naruszenie.

Jak przepisy o obowiązkowej weryfikacji zwiększają Twoją ekspozycję na firmy takie jak IDScan

Niewygodna rzeczywistość stojąca za tym naruszeniem polega na tym, że wiele osób nigdy nie zdecydowało się oddać swojego prawa jazdy bezpośrednio do IDScan.net. Oddały je barowi, sprzedawcy detalicznemu lub platformie internetowej, która zleciła krok weryfikacji zewnętrznemu dostawcy, często bez wiedzy klienta, która firma faktycznie przetwarza i przechowuje skan. W miarę jak obowiązki weryfikacji wieku rozszerzają się w stanach i krajach, coraz więcej codziennych transakcji wymaga okazania dokumentu tożsamości wydanego przez rząd systemowi, którego nikt nie może zobaczyć ani audytować. Nasze wcześniejsze omówienie tego, jak przepisy o weryfikacji wieku napędzają masowe przyjęcie VPN, wyjaśnia, dlaczego użytkownicy coraz częściej czują się zmuszani do szukania obejść, zamiast przesyłać skany dokumentów tożsamości nieznanym stronom trzecim. Naruszenie IDScan.net jest wyraźną ilustracją ryzyka, jakie tworzą te przepisy: każdy nowy wymóg weryfikacji dodaje kolejnego dostawcę, kolejną bazę danych i kolejny potencjalny punkt awarii przechowujący Twoje dokumenty tożsamości.

Kroki mające na celu ograniczenie szkód po naruszeniu weryfikacji tożsamości

Jeśli uważasz, że Twoje prawo jazdy może być częścią tego wycieku, warto teraz podjąć konkretne kroki. Skontaktuj się ze swoją stanową lub prowincjonalną agencją ds. pojazdów mechanicznych, aby zapytać o alerty oszustw lub ponowne wydanie numeru prawa jazdy, jeśli taka opcja jest dostępna. Monitoruj swoje raporty kredytowe i rozważ zamrożenie kredytu, ponieważ skradzione prawo jazdy jest często wykorzystywane do wspierania kradzieży tożsamości, a nie bezpośredniego oszustwa finansowego. Uważaj na próby phishingu odwołujące się do Twojego prawdziwego imienia i nazwiska, adresu lub danych z prawa jazdy, ponieważ atakujący wykorzystują zweryfikowane dane osobowe, aby uczynić oszustwa bardziej przekonującymi. Warto również zapoznać się z naszym reportażem o pozwach złożonych po naruszeniu IDScan, gdy zostało ono po raz pierwszy zarzucone, który opisuje opcje prawne dostępne dla ofiar i środki naprawcze zaoferowane dotychczas przez firmę.

Co to oznacza dla Ciebie

Naruszenie danych praw jazdy w IDScan jest przypomnieniem, że weryfikacja tożsamości stała się infrastrukturą, a infrastruktura zawodzi. Możesz nigdy nie mieć bezpośredniego kontaktu z IDScan.net, a mimo to dane z Twojego prawa jazdy mogą wciąż znajdować się w jej systemach, ponieważ sprzedawca detaliczny lub obiekt wybrał tego dostawcę, aby spełnić wymóg sprawdzenia wieku lub tożsamości. W miarę jak coraz więcej transakcji wymaga weryfikacji tożsamości, liczba firm przechowujących kopie Twoich rządowych dokumentów stale rośnie, podobnie jak Twoja ekspozycja na naruszenie, do którego nie przyczyniłeś się w żaden sposób.

Najważniejsze wnioski

Sprawdź, czy Twoje prawo jazdy zostało zeskanowane przez firmę, która korzystała z IDScan.net do weryfikacji, i skontaktuj się ze swoim DMV w sprawie ponownego wydania numeru prawa jazdy, jeśli się niepokoisz. Zamroź swój kredyt i monitoruj podejrzaną aktywność na kontach w nadchodzących miesiącach, ponieważ dane z prawa jazdy wspierają długoterminowe oszustwa związane z tożsamością, a nie szybki jednorazowy cios. Zachowaj czujność wobec wiadomości phishingowych wykorzystujących dokładne dane osobowe, aby wydawać się wiarygodnymi. I wreszcie, zwracaj uwagę na to, z jakich usług zewnętrznych korzysta firma, zanim przekażesz rządowy dokument tożsamości, ponieważ to ten dostawca, a nie sprzedawca, któremu ufasz, często faktycznie przechowuje Twoje dane.