Mais de 15.000 pessoas se inscreveram em um site criado para preparar um possível processo coletivo de indenização por um vazamento de dados em um serviço japonês de compartilhamento de carros. Segundo um advogado envolvido no lançamento do site, o vazamento expôs documentos de verificação de identidade, incluindo imagens de carteiras de motorista. O caso é um exemplo claro de por que um vazamento de dados de documentos de verificação de identidade é tratado com tanta seriedade por especialistas em privacidade e pelas pessoas afetadas.
O que aconteceu no vazamento de dados do compartilhamento de carros
As informações disponíveis até agora são breves. Um recente vazamento de dados em um serviço japonês de compartilhamento de carros expôs documentos de verificação de identidade, entre eles imagens de carteiras de motorista. Um advogado envolvido na criação do site disse que mais de 15.000 pessoas se registraram para se preparar para um possível processo coletivo de indenização.
Os detalhes que podemos confirmar se limitam a esses pontos. A fonte não descreve, nas partes disponíveis, como o vazamento ocorreu, quantas pessoas no total foram afetadas ou o que qualquer processo pode buscar. Não vamos especular sobre esses detalhes. O que o número de inscrições mostra é a rapidez com que os clientes afetados se organizam ao saber que cópias de seus documentos de identidade foram expostas.
Um processo coletivo também nos diz algo sobre como as pessoas reagem a esse tipo de incidente. Ações individuais por um vazamento podem ser difíceis de mover, então a ação coletiva é uma forma de pessoas com a mesma reivindicação unirem esforços.
Por que documentos de identidade são um alvo de alto valor
Serviços de compartilhamento de carros normalmente precisam confirmar que uma pessoa tem permissão legal para dirigir antes de entregar um veículo. É por isso que coletam digitalizações ou fotos de carteiras de motorista. A mesma verificação que torna o serviço seguro de operar cria um acúmulo de registros sensíveis.
Documentos de identidade são atraentes para atacantes por uma razão simples: não podem ser alterados facilmente. Se uma senha vaza, você a redefine. Se um número de cartão vaza, o banco emite um novo. Uma imagem de carteira de motorista contém um nome completo, uma foto, uma data de nascimento e, muitas vezes, um endereço, e esses detalhes permanecem com você por anos.
Essa durabilidade também significa que o dano pode chegar tarde. Nossa cobertura sobre o vazamento da Synnovis NHS e dados de pacientes roubados surgindo na dark web mostra como informações obtidas em um incidente podem reaparecer muito depois, estendendo o risco muito além das manchetes iniciais.
Para que imagens expostas de carteiras de motorista podem ser usadas
O artigo fonte não diz como os registros japoneses expostos foram usados, e não temos evidências de uso indevido. Em termos gerais, porém, profissionais de segurança apontam vários riscos sempre que imagens de documentos de identidade vazam:
- Personificação: Uma digitalização com foto e dados pessoais pode ajudar alguém a se passar por você ao contatar um serviço ou central de atendimento.
- Abertura ou recuperação de contas: Alguns serviços aceitam a imagem de um documento como prova de identidade, o que um criminoso pode tentar abusar.
- Phishing direcionado: Saber seu nome real e onde você usa um serviço permite que um golpista crie mensagens que parecem credíveis.
- Falsificação de documentos: Uma imagem nítida pode servir de modelo para uma falsificação.
Nenhum desses desfechos é garantido para qualquer pessoa específica. São as razões pelas quais um vazamento de documentos de identidade é considerado mais grave do que muitos outros tipos de exposição.
Como limitar sua exposição ao enviar documentos de identidade
Você não pode controlar como uma empresa armazena seus dados, mas pode reduzir o que entrega e por quanto tempo eles ficam lá.
- Pergunte se uma digitalização é realmente necessária. Se um serviço oferece uma verificação presencial ou um método que não retém uma cópia, considere essa opção.
- Leia a política de retenção. Procure por quanto tempo as imagens são mantidas e se são excluídas após a verificação.
- Solicite a exclusão. Muitas leis de privacidade permitem que você peça a uma empresa para apagar dados que ela não precisa mais para sua finalidade original.
- Use logins exclusivos. Mantenha senhas separadas para cada conta para que um vazamento não abra as outras.
- Cuidado com mensagens não solicitadas. Após qualquer vazamento, espere e-mails e textos fraudulentos que usam seus dados reais.
Uma VPN não protege documentos que uma empresa já armazenou, mas pode ajudar a proteger sua conexão enquanto você envia arquivos sensíveis em redes não confiáveis. Nosso relatório sobre o primeiro serviço de VPN sancionado pelo Tesouro dos EUA por vínculos com ransomware é um lembrete para também examinar de perto em quem você confia seus dados.
O que isso significa para você
Se você usa um serviço de compartilhamento de carros, aluguel ou similar, uma cópia da sua carteira de motorista pode estar no banco de dados de outra pessoa neste momento. O caso japonês mostra que, quando esse tipo de armazenamento é exposto, milhares de pessoas podem buscar uma solução em conjunto. Também mostra que as consequências de um vazamento de dados de documentos de verificação de identidade recaem sobre os clientes, que não podem simplesmente substituir uma carteira de motorista como fariam com uma senha.
Você não precisa entrar em pânico. Você precisa saber onde seus documentos estão.
Conclusões práticas
- Faça uma lista dos serviços que pediram uma foto do seu documento de identidade e verifique quais ainda a mantêm.
- Envie solicitações de exclusão onde você não usa mais o serviço.
- Fique atento a phishing e atividades incomuns em contas vinculadas ao seu nome.
- Se você for afetado por um vazamento, siga os avisos oficiais da empresa e considere se participar de um esforço legal coletivo faz sentido para você.
Para entender por que o risco persiste, leia como dados pessoais roubados ressurgem muito depois de um incidente em nosso artigo sobre o vazamento da Synnovis NHS na dark web. A lição é a mesma: a cópia de documento de identidade mais segura é aquela que uma empresa nunca guarda.
