Що показав витік даних IDScan

За даними позовів, поданих проти компанії, повідомлений витік даних у компанії з верифікації особи IDScan поставив під загрозу понад 153 мільйони водійських посвідчень. Масштаб інциденту, одного з найбільших зафіксованих витоків документів, що посвідчують особу, посилив увагу до того, як постачальники послуг верифікації зберігають і захищають конфіденційні документи, які вони збирають. Для глибшого ознайомлення з юридичними наслідками, кілька позовів, поданих проти IDScan, детально описують звинувачення в тому, що хакери отримали доступ до сховища записів і пропонували їх продати.

Водійські посвідчення — це не лише імена та адреси. Вони зазвичай містять фотографію, підпис, номер посвідчення, виданого штатом, і часто дату народження, усі ці дані можуть бути використані для створення переконливих схем крадіжки особистих даних або для обходу інших перевірок, які покладаються на збіг особистих даних. Коли один постачальник послуг одночасно зберігає ці дані для мільйонів людей, один витік може мати наслідки далеко за межами платформ, які спочатку запитували верифікацію.

Як закони про перевірку віку, як-от KOSA, масштабували б цей ризик

Закон про безпеку дітей в інтернеті (KOSA) спрямований на захист неповнолітніх від шкідливого контенту, і одним із механізмів, що обговорюються для досягнення цієї мети, є вимога до платформ перевіряти вік своїх користувачів. На практиці це означає впровадження тієї ж інфраструктури верифікації особи, яку надають такі компанії, як IDScan, — систем, що збирають і зберігають дані посвідчень, виданих державними органами, для підтвердження віку користувача.

Саме тут витік даних IDScan стає більш ніж історією однієї компанії. У галузевих повідомленнях щодо перевірки віку часто проводять межу між «перевіркою віку» та «верифікацією особи», стверджуючи, що це два окремі процеси з нижчим рівнем ризику. Але технічна реальність полягає в тому, що більшість систем перевірки віку підтверджують вік шляхом верифікації особи, зазвичай через сканований документ, що посвідчує особу. Якщо KOSA або подібні закони підштовхнуть платформи до обов’язкових перевірок віку, практичним наслідком буде поширення централізованих баз даних, що зберігають водійські посвідчення, дати народження та іншу ідентифікаційну інформацію, — саме таку ціль, яка зробила витік даних IDScan можливим у першу чергу.

Занепокоєння — це не гіпотетичні політичні дебати заради самих дебатів. Це пряме питання масштабу: якщо один постачальник послуг верифікації може розкрити 153 мільйони записів, що станеться, коли обов’язкова перевірка віку вимагатиме від десятків платформ створювати або замовляти подібні системи, кожна з яких зберігатиме посвідчення мільйонів користувачів, включно з неповнолітніми?

Заяви постачальників про безпеку проти того, що сталося насправді

Компанії з верифікації особи регулярно позиціонують себе як безпечних зберігачів конфіденційних даних, посилаючись на шифрування, сертифікації відповідності та політики обробки даних, покликані заспокоїти як регуляторів, так і громадськість. IDScan підтримувала публічні запевнення щодо своїх практик безпеки навіть тоді, коли позови описують витік, що зачепив величезний обсяг записів.

Цей розрив між задекларованою позицією щодо безпеки та фактичним результатом є основною проблемою для кожного, хто оцінює, чи є обов’язкова перевірка віку на основі посвідчень безпечним політичним напрямком. Запевнення постачальників не є підтвердженими результатами, і щойно стався витік, шкода, завдана постраждалим особам — потенційна крадіжка особистих даних, шахрайство та втрата контролю над особистими документами, — не може бути виправлена вибаченнями чи виправленою системою. Позови проти IDScan тепер перевіряють, наскільки великою є відповідальність постачальника послуг верифікації, коли його обіцянки не збігаються з його практикою.

Що це означає для вас

Якщо ви користувалися послугою, яка вимагала завантаження водійського посвідчення або іншого державного документа для перевірки віку чи особи, варто перевірити, чи повідомляв цей постачальник про будь-які інциденти з безпекою. З огляду на масштаб витоку даних IDScan, кожен, хто подавав посвідчення через партнера з верифікації, повинен вважати номер свого водійського посвідчення та особисті дані потенційно розкритими та стежити за ознаками зловживання особистими даними, як-от незнайомі запити в кредитних бюро або відкриття рахунків.

У ширшому сенсі дебати щодо KOSA та подібних пропозицій про перевірку віку — це не просто політична суперечка, це попередній перегляд того, скільки особистих даних може незабаром бути централізовано на багатьох інших платформах, якщо перевірка на основі посвідчень стане стандартною практикою. Розуміння ризику витоку даних при перевірці віку зараз, до набуття чинності ширших вимог, дає користувачам і батькам чіткішу картину компромісів, пов’язаних із цим.

Ключові висновки

  • Перегляньте будь-яку платформу чи послугу, які вимагали державне посвідчення для верифікації, і перевірте наявність повідомлень про витоки.
  • Стежте за кредитними звітами та фінансовими рахунками, якщо ви подавали посвідчення постачальнику послуг верифікації, особливо тому, хто був залучений до відомого інциденту.
  • Де можливо, обирайте послуги, які пропонують методи верифікації, що зберігають конфіденційність і не вимагають зберігання повного сканованого зображення посвідчення.
  • Будьте в курсі законодавства, як-от KOSA, оскільки обов’язкова перевірка віку може розширити кількість централізованих баз даних посвідчень, подібних до тієї, що була залучена в цей витік.
  • Читайте поточне висвітлення судових позовів щодо витоку даних IDScan для оновлень про те, як постраждалі користувачі можуть бути повідомлені або отримати компенсацію.

Інцидент з IDScan є чітким сигналом того, що централізація документів, що посвідчують особу, навіть із найкращими намірами захисту дітей в інтернеті, створює сконцентровані цілі для зловмисників. Зменшення залежності від перевірки на основі посвідчень, де існують альтернативи, і пильність щодо повідомлень про витоки залишається одним із найпрактичніших кроків, які користувачі можуть зробити вже зараз.