O breșă IDScan care a durat un an și pe care nimeni n-a observat-o

Noile detalii care ies la iveală despre breșa de date IDScan sugerează că incidentul a fost mult mai grav decât un simplu hack de tip „sparge și fură". Conform relatărilor, compania de verificare a identității pare să fi fost compromisă timp de un an întreg, atacatorii extragându-i liniștiți permisele de conducere în timp real, pe măsură ce erau încărcate în sistem. Mai degrabă decât un furt unic dintr-o bază de date statică, aceasta pare o conductă vie, susținută, de documente de identitate furate, care au curs de pe serverele IDScan timp de douăsprezece luni înainte ca cineva să-și dea seama.

Acest detaliu contează. Înseamnă că fiecare permis scanat, verificat sau stocat de IDScan în acea perioadă, fie pentru verificarea vârstei la un comerciant, pe o platformă online sau printr-un alt serviciu care se baza pe instrumentele companiei, poate fi fost capturat de intrus aproape imediat după ce a intrat în bază. Așa cum am raportat anterior, pe o piață dark web a apărut o ofertă cu scanări asociate cu aproximativ 153 de milioane de permise de conducere din Statele Unite și Canada, presupus obținute din exact această breșă.

De ce o breșă „live" este mai gravă decât una statică

Majoritatea breșelor de date care ajung pe prima pagină implică un singur eveniment de extragere: atacatorii pătrund, copiază o bază de date și pleacă. Situația IDScan descrisă aici este diferită. Dacă hackerii au avut acces continuu timp de un an, asta sugerează că nu doar furau înregistrări vechi aflate în stocare. Ei capturau documente proaspete pe măsură ce persoane reale le trimiteau pentru verificarea vârstei sau a identității, zi după zi, lună după lună.

Acest tip de acces persistent indică de obicei un compromis mai profund decât un server configurat greșit sau o singură acreditare furată. Ridică întrebări despre cât timp a rămas intruziunea nedetectată și ce monitorizare, dacă exista vreuna, era în vigoare pentru a surprinde fluxuri neobișnuite de date dintr-un sistem care gestionează atât de multe informații personale sensibile. IDScan se confruntă acum cu multiple procese în legătură cu presupusa breșă, așa cum am detaliat în acoperirea noastră anterioară a consecințelor legale, iar amploarea și durata incidentului vor conta probabil mult în aceste cazuri.

Imaginea de ansamblu pentru serviciile de verificare a vârstei

Companiile de verificare a vârstei precum IDScan se află la o intersecție incomodă: ele există tocmai pentru a colecta și verifica documente de identitate emise de stat, adesea pentru platforme cu obligații legale de a confirma vârsta unui utilizator. Acest model de afaceri înseamnă că aceste companii acumulează cantități enorme de permise de conducere, pașapoarte și alte identificatoare sensibile, ceea ce le face ținte de mare valoare pentru infractorii cibernetici.

Breșa IDScan este un reminder că presiunea tot mai mare pentru verificarea vârstei pe site-uri, aplicații și la comercianți vine cu un compromis real. De fiecare dată când un permis de conducere este scanat pentru a dovedi că cineva este suficient de mare ca să cumpere ceva sau să acceseze un serviciu, acel document este stocat, procesat și potențial expus undeva într-un sistem terț asupra căruia utilizatorul final nu are nicio vizibilitate. Un compromis nedetectat timp de un an la o companie construită tocmai pentru a proteja acest tip de date subminează argumentul că verificarea centralizată a vârstei este în mod inerent mai sigură decât alternativele.

Ce înseamnă asta pentru tine

Dacă ți-ai scanat permisul de conducere la un comerciant, într-o aplicație sau pe o platformă online pentru verificarea vârstei sau a identității la un moment dat în ultimul an sau mai mult, există o posibilitate reală ca informațiile tale să fi trecut prin sistemele IDScan în perioada în care breșa era activă. Un permis de conducere furat nu este un simplu inconvenient. Este un document care combină numele tău complet, adresa, data nașterii, fotografia și numărul permisului, toate putând fi folosite pentru furt de identitate, crearea de conturi frauduloase sau atacuri de phishing țintite.

Spre deosebire de o parolă scursă, nu poți pur și simplu să resetezi numărul permisului de conducere. Asta face ca breșe ca aceasta să fie deosebit de dăunătoare și de lungă durată în consecințele lor.

Recomandări acționabile

  • Verifică dacă vreo platformă pe care ai folosit-o pentru verificarea vârstei sau a identității a lucrat cu IDScan și fii atent la e-mailurile de notificare a breșei.
  • Monitorizează-ți rapoartele de credit și activează alerte de fraudă dacă crezi că datele permisului tău ar fi putut fi expuse.
  • Fii precaut cu privire la e-mailurile sau apelurile nesolicitate care menționează permisul tău de conducere, adresa sau data nașterii, deoarece aceste detalii ar putea fi folosite în încercări convingătoare de phishing.
  • Ia în considerare înghețarea creditului la birourile majore de credit dacă ești îngrijorat de furtul de identitate după breșa de date IDScan.
  • Întreabă orice serviciu care solicită verificarea identității de acum înainte cât timp păstrează documentele scanate și dacă acestea sunt stocate la o terță parte precum IDScan.

Breșa IDScan subliniază o tensiune tot mai mare între cerințele de verificare a vârstei și riscurile de securitate ale centralizării documentelor de identitate sensibile în baze de date ale terților. Pe măsură ce procesele continuă și ies la iveală mai multe detalii, acest incident va deveni probabil un studiu de caz pentru motivul pentru care durata și viteza de detectare a unei breșe contează la fel de mult ca numărul de înregistrări expuse.