Ett år långt IDScan-intrång som ingen upptäckte

Nya detaljer framkommer om IDScan-dataintrånget som tyder på att incidenten var betydligt allvarligare än ett enskilt smash-and-grab-hack. Enligt rapportering tycks identitetsverifieringsföretaget ha varit komprometterat under ett helt år, med angripare som tyst tappade av körkort i realtid när de laddades upp i systemet. I stället för en engångsstöld av en statisk databas liknar detta en ihållande, live-pipeline av stulna identitetshandlingar som strömmade ut från IDScans servrar i tolv månader innan någon upptäckte det.

Den detaljen spelar roll. Det innebär att varje körkort som skannats, verifierats eller lagrats av IDScan under det fönstret, oavsett om det gällde åldersverifiering hos en återförsäljare, en onlineplattform eller en annan tjänst som förlitade sig på företagets verktyg, kan ha fångats upp av inkräktarna nästan så snart det kom in i databasen. Som vi tidigare rapporterat dök det upp en marknadsplats på dark web som erbjöd skanningar kopplade till cirka 153 miljoner körkort från USA och Kanada, påstås komma från just detta intrång.

Varför ett "live"-intrång är värre än en ögonblicksbild

De flesta dataintrång som hamnar i rubrikerna innebär en enda extraktionshändelse: angripare tar sig in, kopierar en databas och lämnar. IDScan-situationen som beskrivs här är annorlunda. Om hackare hade pågående åtkomst under ett år tyder det på att de inte bara stal gamla poster som låg i lagring. De fångade upp färska handlingar när riktiga människor skickade in dem för ålders- eller identitetsverifiering, dag efter dag, månad efter månad.

Den här typen av ihållande åtkomst pekar vanligtvis på en djupare kompromiss än en felkonfigurerad server eller en enda stulen inloggningsuppgift. Det väcker frågor om hur länge intrånget förblev oupptäckt och vilken övervakning, om någon, som fanns på plats för att fånga upp ovanliga dataflöden ut ur ett system som hanterar så mycket känslig personlig information. IDScan står nu inför flera stämningar över det påstådda intrånget, som beskrivs i vår tidigare täckning av de rättsliga följderna, och incidentens omfattning och varaktighet kommer sannolikt att väga tungt i dessa mål.

Den större bilden för åldersverifieringstjänster

Åldersverifieringsföretag som IDScan befinner sig i en obekväm skärningspunkt: de finns till specifikt för att samla in och verifiera statligt utfärdade identitetshandlingar, ofta för plattformar med juridiska skyldigheter att bekräfta en användares ålder. Den affärsmodellen innebär att dessa företag samlar på sig enorma mängder körkort, pass och andra känsliga identifierare, vilket gör dem till högt värderade mål för cyberkriminella.

IDScan-intrånget är en påminnelse om att den växande drivkraften för åldersverifiering på webbplatser, appar och hos återförsäljare kommer med en verklig avvägning. Varje gång ett körkort skannas för att bevisa att någon är gammal nog att köpa något eller få tillgång till en tjänst, lagras, bearbetas och exponeras den handlingen potentiellt någonstans i ett tredjepartssystem som slutanvändaren inte har någon insyn i. Ett år långt, oupptäckt intrång på ett företag byggt specifikt för att skydda den här typen av data undergräver argumentet att centraliserad åldersverifiering i sig är säkrare än alternativen.

Vad detta innebär för dig

Om du har haft ditt körkort skannat av en återförsäljare, app eller onlineplattform för ålders- eller identitetsverifiering någon gång under det senaste året eller mer, finns det en reell möjlighet att din information passerade genom IDScans system under det fönster då intrånget var aktivt. Ett stulet körkort är inte en mindre olägenhet. Det är en handling som kombinerar ditt fullständiga namn, adress, födelsedatum, foto och körkortsnummer, allt som kan användas för identitetsstöld, bedrägligt kontoskapande eller riktade nätfiskeattacker.

Till skillnad från ett läckt lösenord kan du inte bara återställa ett körkortsnummer. Det gör intrång som detta särskilt skadliga och långvariga i sina konsekvenser.

Konkreta åtgärder att vidta

  • Kontrollera om någon plattform du använt för ålders- eller identitetsverifiering arbetade med IDScan, och håll utkik efter e-postmeddelanden om intrångsanmälan.
  • Övervaka dina kreditupplysningar och aktivera bedrägerivarningar om du tror att dina körkortsuppgifter kan ha exponerats.
  • Var försiktig med oombedda e-postmeddelanden eller samtal som hänvisar till ditt körkort, din adress eller ditt födelsedatum, eftersom dessa uppgifter kan användas i övertygande nätfiskeförsök.
  • Överväg att frysa din kredit hos de stora kreditupplysningsföretagen om du är orolig för identitetsstöld efter IDScan-dataintrånget.
  • Fråga alla tjänster som begär ID-verifiering framöver hur länge de behåller skannade handlingar och om de lagras hos en tredje part som IDScan.

IDScan-intrånget understryker en växande spänning mellan åldersverifieringskrav och säkerhetsriskerna med att centralisera känsliga identitetshandlingar i tredjepartsdatabaser. Allteftersom stämningar fortskrider och fler detaljer kommer fram, kommer denna incident sannolikt att bli en fallstudie i varför varaktigheten och upptäcktshastigheten av ett intrång spelar lika stor roll som antalet exponerade poster.