Что подтвердила IDScan.net и какие данные были раскрыты

Компания IDScan.net из Луизианы, занимающаяся проверкой личности, подтвердила утечку данных, предположительно связанную с торговой площадкой в даркнете, где продаются сканы более 153 млн водительских прав США и Канады. Подтверждение компании последовало за неделями сообщений о криминальном объявлении, предлагающем массовый доступ к государственным удостоверениям личности, включая полные имена и изображения прав, и оно даёт имя и масштаб истории, которая до этого circulating в основном через исследователей безопасности и мониторинг даркнета.

IDScan.net создаёт инструменты проверки личности и возраста, используемые ритейлерами, барами и другими предприятиями для сканирования и проверки государственных удостоверений в точке совершения транзакции. Такая бизнес-модель означает, что компания обрабатывает и хранит огромные объёмы данных водительских прав от имени своих клиентов — именно тот тип централизованного хранилища, который становится привлекательной единой целью для злоумышленников. Когда такая компания подвергается взлому, последствия не остаются в пределах одного бизнеса. Они распространяются на каждого ритейлера, площадку и платформу, которые полагались на IDScan.net для проверки удостоверения клиента, и на каждого человека, чьё удостоверение было отсканировано как рутинная часть покупки товаров с возрастными ограничениями.

Почему утечки водительских прав сложнее пережить, чем утечки паролей

Утёкший пароль — это неудобно, но исправимо. Вы меняете его, включаете двухфакторную аутентификацию и идёте дальше. Утёкшее водительское удостоверение — совсем другая проблема. Документ содержит юридическое имя, дату рождения, домашний адрес, номер удостоверения и часто фотографию, и ничего из этого нельзя просто сбросить. Жертвам раскрытия водительских прав обычно приходится обращаться в государственное или провинциальное агентство по транспортным средствам, чтобы запросить новый номер удостоверения — процесс, который занимает время и не удаляет утёкший скан, лежащий на криминальной торговой площадке.

Именно эта необратимость делает такого рода утечку особенно ценной для мошенников. Украденное изображение удостоверения можно использовать для открытия финансовых счетов, прохождения проверок личности в других компаниях или для поддержки синтетического мошенничества с идентичностью, которое сочетает реальные личные данные с вымышленной информацией. Это не первый случай, когда хранилище государственных удостоверений личности было скомпрометировано в масштабе. Утечка youX в Австралии вынудила к общенациональному перевыпуску водительских прав, а утечка ANTS во Франции раскрыла миллионы учётных записей, связанных с национальными удостоверениями личности и водительскими документами. Инцидент с IDScan.net вписывается в ту же схему: централизованная система проверки личности, хранящая конфиденциальные документы миллионов людей, взломана один раз, с последствиями, которые длятся гораздо дольше самой утечки.

Как законы об обязательной верификации увеличивают вашу подверженность компаниям вроде IDScan

Неудобная реальность за этой утечкой заключается в том, что многие люди никогда не выбирали передавать своё водительское удостоверение непосредственно IDScan.net. Они передавали его бару, ритейлеру или онлайн-платформе, которая передала этап проверки стороннему поставщику, часто без ведома клиента о том, какая компания фактически обрабатывает и хранит скан. По мере расширения мандатов на проверку возраста в штатах и странах всё больше повседневных транзакций теперь требуют предъявления государственного удостоверения системе, которую никто не может увидеть или проверить. Наш предыдущий материал о том, как законы о проверке возраста стимулируют массовое adoption VPN, объясняет, почему пользователи всё чаще чувствуют себя вынужденными искать обходные пути, а не отправлять сканы удостоверений незнакомым третьим сторонам. Утечка IDScan.net — наглядная иллюстрация риска, который создают эти законы: каждое новое требование верификации добавляет ещё одного поставщика, ещё одну базу данных и ещё одну потенциальную точку отказа, хранящую ваши документы, удостоверяющие личность.

Шаги по ограничению ущерба после утечки при проверке личности

Если вы считаете, что ваше водительское удостоверение может быть частью этой утечки, есть конкретные шаги, которые стоит предпринять сейчас. Свяжитесь с государственным или провинциальным агентством по транспортным средствам, чтобы узнать о возможностях уведомлений о мошенничестве или перевыпуска номера удостоверения, если такая опция доступна. Следите за своими кредитными отчётами и рассмотрите заморозку кредита, поскольку украденное удостоверение часто используется для поддержки кражи личности, а не прямого финансового мошенничества. Следите за фишинговыми попытками, которые ссылаются на ваше настоящее имя, адрес или данные удостоверения, поскольку злоумышленники используют проверенные личные данные, чтобы сделать мошенничество более убедительным. Также стоит ознакомиться с нашим материалом о исках, поданных после утечки IDScan, который описывает юридические возможности жертв и меры по устранению последствий, предложенные компанией на данный момент.

Что это значит для вас

Утечка водительских прав IDScan — напоминание о том, что проверка личности стала инфраструктурой, а инфраструктура даёт сбои. Вы можете никогда напрямую не взаимодействовать с IDScan.net, но данные вашего водительского удостоверения всё равно могут находиться в её системах, потому что ритейлер или площадка выбрали этого поставщика для выполнения проверки возраста или личности. Поскольку всё больше транзакций требуют проверки личности, число компаний, хранящих копии ваших государственных документов, продолжает расти, как и ваша подверженность утечке, в возникновении которой вы не играли никакой роли.

Ключевые выводы

Проверьте, было ли ваше удостоверение отсканировано компанией, использовавшей IDScan.net для верификации, и свяжитесь с вашим DMV по поводу перевыпуска номера удостоверения, если вы обеспокоены. Заморозьте кредит и следите за подозрительной активностью по счетам в ближайшие месяцы, поскольку данные водительских прав поддерживают долгосрочное мошенничество с личностью, а не быстрый разовый удар. Оставайтесь внимательны к фишинговым сообщениям, которые используют точные личные данные, чтобы казаться легитимными. Наконец, обращайте внимание на то, какие сторонние сервисы использует бизнес, прежде чем передавать государственное удостоверение, поскольку именно этот поставщик, а не ритейлер, которому вы доверяете, часто фактически хранит ваши данные.