การละเมิดข้อมูล IDScan ที่กินเวลานานหนึ่งปีโดยไม่มีใครสังเกตเห็น

รายละเอียดใหม่ที่เปิดเผยเกี่ยวกับการละเมิดข้อมูลของ IDScan ชี้ให้เห็นว่าเหตุการณ์ครั้งนี้รุนแรงกว่าการโจมตีแบบเจาะระบบแล้วหนีไปเพียงครั้งเดียว ตามรายงาน บริษัทตรวจสอบยืนยันตัวตนรายนี้ดูเหมือนจะถูกเจาะระบบเป็นเวลาทั้งปี โดยผู้โจมตีค่อยๆ ดูดข้อมูลใบขับขี่แบบเรียลไทม์ในขณะที่ข้อมูลเหล่านั้นถูกอัปโหลดเข้าสู่ระบบ แทนที่จะเป็นการขโมยฐานข้อมูลแบบคงที่เพียงครั้งเดียว เหตุการณ์นี้ดูเหมือนท่อส่งข้อมูลเอกสารแสดงตนที่ถูกขโมยอย่างต่อเนื่องซึ่งไหลออกจากเซิร์ฟเวอร์ของ IDScan เป็นเวลาสิบสองเดือนก่อนที่ใครจะรู้ตัว

รายละเอียดดังกล่าวมีความสำคัญ หมายความว่าใบขับขี่ทุกฉบับที่ถูกสแกน ตรวจสอบ หรือจัดเก็บโดย IDScan ในช่วงเวลาดังกล่าว ไม่ว่าจะเป็นการตรวจสอบอายุที่ร้านค้าปลีก บนแพลตฟอร์มออนไลน์ หรือบริการอื่นๆ ที่พึ่งพาเครื่องมือของบริษัท อาจถูกผู้บุกรุกจับได้เกือบจะในทันทีที่ข้อมูลเข้าสู่ฐานข้อมูล ตามที่เรารายงานก่อนหน้านี้ ตลาดมืดบนเว็บได้ปรากฏขึ้นพร้อมเสนอข้อมูลสแกนที่เชื่อมโยงกับใบขับขี่ประมาณ 153 ล้านฉบับจากสหรัฐอเมริกาและแคนาดา ซึ่งอ้างว่ามีที่มาจากการละเมิดข้อมูลครั้งนี้โดยเฉพาะ

ทำไมการละเมิดแบบ "สด" จึงเลวร้ายกว่าการขโมยข้อมูลแบบครั้งเดียว

การละเมิดข้อมูลส่วนใหญ่ที่กลายเป็นข่าวเกี่ยวข้องกับเหตุการณ์การดึงข้อมูลเพียงครั้งเดียว: ผู้โจมตีเจาะเข้ามา คัดลอกฐานข้อมูล แล้วออกไป สถานการณ์ของ IDScan ที่อธิบายไว้ในที่นี้แตกต่างออกไป หากแฮกเกอร์สามารถเข้าถึงระบบได้อย่างต่อเนื่องเป็นเวลาหนึ่งปี นั่นบ่งชี้ว่าพวกเขาไม่เพียงแต่ขโมยบันทึกเก่าที่เก็บไว้เท่านั้น แต่พวกเขากำลังเก็บข้อมูลเอกสารใหม่ๆ ที่ผู้คนจริงส่งเข้ามาเพื่อการตรวจสอบอายุหรือยืนยันตัวตน วันแล้ววันเล่า เดือนแล้วเดือนเล่า

การเข้าถึงอย่างต่อเนื่องแบบนี้มักชี้ให้เห็นถึงการเจาะระบบที่ลึกซึ้งกว่าการตั้งค่าเซิร์ฟเวอร์ที่ผิดพลาดหรือการขโมยข้อมูลประจำตัวเพียงชุดเดียว มันทำให้เกิดคำถามว่าการบุกรุกดำเนินไปนานแค่ไหนโดยไม่ถูกตรวจจับ และมีการเฝ้าระวังอะไรบ้าง (ถ้ามี) ที่ช่วยจับการไหลของข้อมูลที่ผิดปกติออกจากระบบที่จัดการข้อมูลส่วนบุคคลที่ละเอียดอ่อนจำนวนมากขนาดนี้ ปัจจุบัน IDScan กำลังเผชิญกับคดีความหลายคดีเกี่ยวกับการละเมิดข้อมูลที่ถูกกล่าวหานี้ ตามรายละเอียดในรายงานก่อนหน้าของเราเกี่ยวกับผลทางกฎหมาย และขนาดและระยะเวลาของเหตุการณ์นี้อาจเป็นปัจจัยสำคัญในคดีเหล่านั้น

ภาพรวมใหญ่สำหรับบริการตรวจสอบอายุ

บริษัทตรวจสอบอายุอย่าง IDScan ตั้งอยู่ตรงจุดตัดที่น่าอึดอัด: พวกเขามีอยู่เพื่อเก็บรวบรวมและตรวจสอบเอกสารแสดงตนที่ออกโดยหน่วยงานรัฐโดยเฉพาะ ซึ่งมักให้บริการแก่แพลตฟอร์มที่มีพันธะทางกฎหมายในการยืนยันอายุของผู้ใช้ โมเดลธุรกิจแบบนี้หมายความว่าบริษัทเหล่านี้สะสมข้อมูลใบขับขี่ หนังสือเดินทาง และตัวระบุตัวตนที่ละเอียดอ่อนอื่นๆ ไว้เป็นจำนวนมหาศาล ทำให้พวกเขาเป็นเป้าหมายมูลค่าสูงสำหรับอาชญากรไซเบอร์

การละเมิดข้อมูลของ IDScan เป็นเครื่องเตือนใจว่าการผลักดันให้มีการตรวจสอบอายุมากขึ้นบนเว็บไซต์ แอป และร้านค้าปลีก มาพร้อมกับการแลกเปลี่ยนที่แท้จริง ทุกครั้งที่สแกนใบขับขี่เพื่อพิสูจน์ว่ามีอายุมากพอที่จะซื้อของหรือเข้าถึงบริการ เอกสารนั้นกำลังถูกจัดเก็บ ประมวลผล และอาจถูกเปิดเผยในระบบของบุคคลที่สามที่ผู้ใช้ปลายทางไม่สามารถมองเห็นได้ การถูกเจาะระบบนานหนึ่งปีโดยไม่ถูกตรวจพบที่บริษัทที่สร้างขึ้นมาเพื่อปกป้องข้อมูลประเภทนี้โดยเฉพาะ บ่อนทำลายข้อโต้แย้งที่ว่าการตรวจสอบอายุแบบรวมศูนย์ปลอดภัยกว่าทางเลือกอื่นโดยเนื้อแท้

สิ่งนี้หมายความต่อคุณ

หากใบขับขี่ของคุณถูกสแกนโดยร้านค้าปลีก แอป หรือแพลตฟอร์มออนไลน์ เพื่อวัตถุประสงค์ในการตรวจสอบอายุหรือยืนยันตัวตน ณ จุดใดก็ตามในปีที่ผ่านมาหรือมากกว่านั้น มีความเป็นไปได้จริงที่ข้อมูลของคุณผ่านระบบของ IDScan ในช่วงเวลาที่การละเมิดนี้กำลังดำเนินอยู่ ใบขับขี่ที่ถูกขโมยไม่ใช่เรื่องไม่สะดวกเล็กน้อย มันเป็นเอกสารที่รวมชื่อเต็ม ที่อยู่ วันเกิด รูปถ่าย และหมายเลขใบขับขี่ของคุณ ซึ่งทั้งหมดนี้สามารถนำไปใช้ในการขโมยตัวตน การสร้างบัญชีปลอม หรือการโจมตีแบบฟิชชิ่งที่เจาะจงเป้าหมายได้

ต่างจากรหัสผ่านที่รั่วไหล คุณไม่สามารถรีเซ็ตหมายเลขใบขับขี่ได้ง่ายๆ ทำให้การละเมิดแบบนี้สร้างความเสียหายเป็นพิเศษและส่งผลกระทบยาวนาน

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

  • ตรวจสอบว่าแพลตฟอร์มใดๆ ที่คุณใช้ในการตรวจสอบอายุหรือยืนยันตัวตนทำงานร่วมกับ IDScan หรือไม่ และคอยดูอีเมลแจ้งเตือนการละเมิดข้อมูล
  • ติดตามรายงานสินเชื่อของคุณและตั้งค่าการแจ้งเตือนการฉ้อโกง หากคุณเชื่อว่าข้อมูลใบขับขี่ของคุณอาจถูกเปิดเผย
  • ระวังอีเมลหรือโทรศัพท์ที่ไม่ได้รับการร้องขอซึ่งอ้างอิงใบขับขี่ ที่อยู่ หรือวันเกิดของคุณ เพราะรายละเอียดเหล่านี้อาจถูกนำไปใช้ในการพยายามฟิชชิ่งที่ดูน่าเชื่อถือ
  • พิจารณาอายัดเครดิตของคุณกับสำนักงานเครดิตหลักๆ หากคุณกังวลเกี่ยวกับการขโมยตัวตนหลังจากการละเมิดข้อมูล IDScan
  • สอบถามบริการใดๆ ที่ขอตรวจสอบบัตรประจำตัวในอนาคตว่าพวกเขาเก็บเอกสารที่สแกนไว้นานเท่าใด และจัดเก็บกับบุคคลที่สามอย่าง IDScan หรือไม่

การละเมิดข้อมูล IDScan ตอกย้ำความตึงเครียดที่เพิ่มขึ้นระหว่างข้อกำหนดการตรวจสอบอายุกับความเสี่ยงด้านความปลอดภัยของการรวมศูนย์เอกสารแสดงตนที่ละเอียดอ่อนไว้ในฐานข้อมูลของบุคคลที่สาม ในขณะที่คดีความดำเนินไปและมีรายละเอียดเปิดเผยมากขึ้น เหตุการณ์นี้มีแนวโน้มจะกลายเป็นกรณีศึกษาว่าเหตุใดระยะเวลาและความรวดเร็วในการตรวจจับการละเมิดจึงสำคัญพอๆ กับจำนวนบันทึกที่ถูกเปิดเผย