Pozwy po rzekomym naruszeniu danych w firmie weryfikującej tożsamość

Wiele pozwów zostało złożonych przeciwko IDScan, firmie zajmującej się weryfikacją tożsamości, po tym jak hakerzy rzekomo naruszyli zabezpieczenia usługi i zaoferowali sprzedaż ponad 153 milionów praw jazdy. Działania prawne następują po doniesieniach, że skany tych dokumentów tożsamości wydawanych przez państwo, potencjalnie zawierających wrażliwe dane osobowe, pojawiły się w sprzedaży, co rodzi poważne pytania o to, jak firmy przetwarzające dane do weryfikacji tożsamości chronią gromadzone informacje.

IDScan jest wykorzystywany przez firmy do weryfikacji tożsamości klientów, często poprzez skanowanie praw jazdy podczas weryfikacji wieku, zakładania konta lub kontroli zapobiegających oszustwom. Oznacza to, że ujawnione dane prawdopodobnie obejmują nie tylko imiona i nazwiska oraz adresy, ale także obrazy dokumentów, które mogą zostać wykorzystane do tworzenia przekonujących fałszywych dowodów tożsamości lub omijania kontroli tożsamości w innych miejscach. Aby uzyskać głębszy wgląd w to, jak początkowo zgłoszono to naruszenie, nasze wcześniejsze omówienie rzekomego naruszenia IDScan obejmuje pierwsze ujawnienie i skalę ekspozycji danych.

Pozwy odzwierciedlają rosnący trend prawny: gdy firmy gromadzą na dużą skalę wrażliwe dokumenty tożsamości i nie zabezpieczają ich odpowiednio, coraz częściej spotykają się z pozwami zbiorowymi ze strony osób dotkniętych naruszeniem. To, czy te roszczenia odniosą sukces, będzie zależeć od wciąż ujawnianych szczegółów, w tym od tego, jak doszło do naruszenia i jakie środki bezpieczeństwa zastosował IDScan.

Dlaczego naruszenie danych praw jazdy różni się od wycieku haseł

Większość ludzi jest przyzwyczajona do słuchania o naruszeniach dotyczących adresów e-mail lub haseł. To jest złe, ale można to zmienić. Prawa jazdy nie można zresetować kilkoma kliknięciami. Jeśli obraz Twojego prawa jazdy, numer i dane osobowe zostaną ujawnione, te dane mogą być wykorzystywane przez wiele lat.

Skradzione skany praw jazdy są szczególnie cenne dla przestępców, ponieważ łączą zdjęcie z dokumentem tożsamości, imię i nazwisko, adres, datę urodzenia i często numer prawa jazdy, a wszystkie te dane mogą wspierać kradzież tożsamości, oszukańcze zakładanie kont lub oszustwa z wykorzystaniem syntetycznej tożsamości. W przeciwieństwie do numeru karty kredytowej, który bank może anulować i wydać ponownie, numer prawa jazdy powiązany z Twoim rzeczywistym dokumentem tożsamości nie zmienia się, chyba że wystąpisz do wydziału komunikacji w swoim stanie o wydanie nowego, co jest procesem, o którym większość ludzi nigdy nie myśli po naruszeniu danych.

To częściowo powód, dla którego naruszenia związane z weryfikacją tożsamości przyciągają większą uwagę i coraz częściej pozwy sądowe niż typowe wycieki danych logowania. Dane nie wygasają, a potencjał długoterminowego niewłaściwego wykorzystania jest wyższy.

Co to oznacza dla Ciebie

Jeśli kiedykolwiek Twoje prawo jazdy zostało zeskanowane przez firmę — czy to do weryfikacji wieku w sklepie, umowy najmu samochodu, czy rejestracji konta online — istnieje szansa, że Twoje informacje mogą w pewnym momencie zostać ujawnione w podobnym naruszeniu, nawet jeśli nie zostałeś dotknięty tym konkretnym incydentem. Kilka praktycznych kroków może zmniejszyć Twoje ryzyko w przyszłości:

Monitoruj swoją tożsamość, nie tylko swoją zdolność kredytową. Wiele usług monitorowania kredytu obejmuje obecnie monitorowanie tożsamości, które śledzi, czy Twój numer prawa jazdy pojawia się w danych z naruszeń lub na rynkach dark webu. Warto to sprawdzić, jeśli nie masz pewności, czy Twoje dane zostały ujawnione.

Ogranicz niepotrzebne skanowania dokumentów tożsamości. Gdy to możliwe, pytaj, czy firma naprawdę musi zeskanować Twój fizyczny dokument, czy wystarczy kontrola wzrokowa. Nie każda weryfikacja wieku lub tożsamości wymaga skopiowania i przechowywania Twojego dokumentu w bazie danych.

Stosuj silne, unikalne hasła i menedżer haseł. Chociaż to naruszenie dotyczy skanów dokumentów, a nie danych logowania, naruszenia często ujawniają jednocześnie wiele typów danych. Menedżer haseł zapewnia, że nawet jeśli jedno konto zostanie naruszone, pozostałe pozostaną chronione unikalnymi danymi logowania.

Rozważ VPN do codziennego przeglądania internetu. VPN nie zapobiegnie naruszeniu danych w firmie, z którą miałeś kontakt, ale zmniejsza ilość danych osobowych ujawnianych podczas przeglądania, zakupów lub wypełniania formularzy online, ograniczając Twój ogólny cyfrowy ślad i utrudniając stronom trzecim budowanie profilu powiązanego z Twoją tożsamością.

Uważaj na próby phishingu. Skradzione dane z praw jazdy są często łączone z innymi informacjami w celu tworzenia przekonujących wiadomości oszukańczych. Zachowaj ostrożność w przypadku nieoczekiwanych e-maili lub SMS-ów odwołujących się do danych osobowych, nawet jeśli wydają się pochodzić od znanych organizacji.

Szerszy obraz usług weryfikacji tożsamości

Ta sprawa podkreśla napięcie w centrum nowoczesnej weryfikacji tożsamości: firmy chcą szybko i niezawodnie potwierdzać, kim jesteś, ale robienie tego często oznacza tworzenie dużych, scentralizowanych baz danych z wrażliwymi dokumentami. Gdy te bazy danych zostaną naruszone, konsekwencje wykraczają daleko poza samą firmę, dotykając wszystkich, których dane kiedykolwiek tam przechowywano.

W miarę postępu pozwów przeciwko IDScan prawdopodobnie pojawi się więcej szczegółów na temat tego, jak doszło do naruszenia i jakie dane faktycznie uzyskano. W międzyczasie incydent służy jako przypomnienie, że nawet usługi zaprojektowane do weryfikacji i ochrony tożsamości mogą stać się pojedynczym punktem awarii.

Na razie najskuteczniejszą reakcją jest reakcja osobista. Ograniczenie ilości danych o Twojej tożsamości krążących w internecie, monitorowanie oznak niewłaściwego wykorzystania oraz korzystanie z narzędzi prywatności, takich jak menedżery haseł i VPN, nie powstrzyma naruszenia, ale może ograniczyć szkody, jeśli Twoje informacje trafią w niepowołane ręce. W miarę rozwoju tej historii naruszenia danych praw jazdy, pozostawanie poinformowanym i proaktywnym pozostaje najlepszą obroną dostępną dla konsumentów.