Що підтвердила IDScan.net і які дані були розкриті
Компанія з перевірки особи IDScan.net, що базується в Луїзіані, підтвердила витік даних, який, за повідомленнями, пов'язаний із торговим майданчиком у даркнеті, де продаються скани понад 153 мільйонів посвідчень водія США та Канади. Підтвердження компанії з'явилося після тижнів публікацій про кримінальне оголошення, яке пропонувало масовий доступ до виданих урядом документів, що посвідчують особу, включно з повними іменами та зображеннями посвідчень, і воно дає назву та масштаб історії, яка раніше поширювалася переважно серед дослідників безпеки та моніторингу даркнету.
IDScan.net створює інструменти для перевірки особи та віку, які використовують роздрібні продавці, бари та інші підприємства для сканування й перевірки державних посвідчень у момент транзакції. Така бізнес-модель означає, що компанія обробляє та зберігає величезні обсяги даних посвідчень водія від імені своїх клієнтів — саме той тип централізованого сховища, який стає привабливою єдиною ціллю для зловмисників. Коли така компанія зазнає витоку, наслідки не обмежуються одним бізнесом. Вони поширюються на кожного роздрібного продавця, заклад і платформу, які покладалися на IDScan.net для перевірки посвідчення клієнта, і на кожну людину, чиє посвідчення було відскановано як звичайна частина купівлі товарів із віковими обмеженнями.
Чому витоки посвідчень водія важче подолати, ніж витоки паролів
Витік пароля — це незручно, але виправно. Ви змінюєте його, вмикаєте двофакторну автентифікацію і рухаєтеся далі. Витік посвідчення водія — це зовсім інша проблема. Документ містить юридичне ім'я, дату народження, домашню адресу, номер посвідчення, а часто й фотографію, і нічого з цього не можна просто скинути. Постраждалі від розкриття посвідчення водія зазвичай мусять звертатися до свого державного або провінційного органу реєстрації транспортних засобів, щоб запросити новий номер посвідчення — процес, який займає час і не стирає витік скану, що лежить на кримінальному торговому майданчику.
Саме ця незворотність робить такий тип витоку особливо цінним для шахраїв. Викрадене зображення посвідчення можна використати для відкриття фінансових рахунків, проходження перевірок особи в інших бізнесах або підтримки синтетичного шахрайства з особою, яке поєднує справжні особисті дані з вигаданою інформацією. Це не перший випадок, коли сховище державних документів, що посвідчують особу, було скомпрометовано в масштабі. Витік youX в Австралії змусив до загальнонаціонального перевидання посвідчень водія, а витік ANTS у Франції розкрив мільйони облікових записів, пов'язаних із національними документами, що посвідчують особу, та посвідченнями водія. Інцидент з IDScan.net вписується в ту саму схему: централізована система перевірки особи, яка зберігає чутливі документи мільйонів людей, зазнає витоку один раз, а наслідки тривають набагато довше, ніж сам витік.
Як закони про обов'язкову перевірку збільшують вашу схильність до ризику з боку компаній, як-от IDScan
Незручна реальність цього витоку полягає в тому, що багато людей ніколи не обирали віддавати своє посвідчення водія безпосередньо IDScan.net. Вони віддавали його бару, роздрібному продавцю або онлайн-платформі, яка передала етап перевірки сторонньому постачальнику, часто без відома клієнта про те, яка компанія насправді обробляє та зберігає скан. Оскільки вимоги щодо перевірки віку розширилися в різних штатах і країнах, дедалі більше повсякденних транзакцій тепер вимагають пред'явлення державного посвідчення системі, яку ніхто не може побачити чи перевірити. Наш попередній матеріал про те, як закони про перевірку віку стимулюють масове впровадження VPN, пояснює, чому користувачі дедалі більше відчувають, що їх штовхають до обхідних шляхів, а не до подання сканів посвідчень незнайомим третім сторонам. Витік IDScan.net є яскравою ілюстрацією ризику, який створюють ці закони: кожна нова вимога перевірки додає ще одного постачальника, ще одну базу даних і ще одну потенційну точку відмови, яка зберігає ваші документи, що посвідчують особу.
Кроки для обмеження шкоди після витоку під час перевірки особи
Якщо ви вважаєте, що ваше посвідчення водія могло бути частиною цього розкриття, варто вжити конкретних заходів уже зараз. Зверніться до свого державного або провінційного органу реєстрації транспортних засобів, щоб запитати про попередження про шахрайство або перевидання номера вашого посвідчення, якщо така можливість доступна. Стежте за своїми кредитними звітами та розгляньте заморожування кредиту, оскільки викрадене посвідчення часто використовують для підтримки крадіжки особи, а не прямої фінансової шахрайської дії. Стежте за спробами фішингу, які згадують ваше справжнє ім'я, адресу або дані посвідчення, оскільки зловмисники використовують підтверджені особисті дані, щоб зробити шахрайство переконливішим. Також варто переглянути наш матеріал про позови, подані після витоку IDScan, коли про нього вперше було заявлено, де викладено юридичні можливості постраждалих і те, яке відшкодування компанія запропонувала наразі.
Що це означає для вас
Витік посвідчень водія IDScan — це нагадування про те, що перевірка особи стала інфраструктурою, а інфраструктура дає збої. Ви можете ніколи не взаємодіяти з IDScan.net безпосередньо, але дані вашого посвідчення водія все одно можуть лежати в її системах, тому що роздрібний продавець або заклад обрав цього постачальника для виконання перевірки віку чи особи. Оскільки дедалі більше транзакцій вимагають перевірки особи, кількість компаній, які зберігають копії ваших державних документів, продовжує зростати, як і ваша схильність до ризику витоку, у якому ви не відігравали жодної ролі.
Ключові висновки
Перевірте, чи сканував ваш документ бізнес, який використовував IDScan.net для перевірки, і зверніться до свого DMV щодо перевидання номера посвідчення, якщо ви занепокоєні. Заморозьте свій кредит і стежте за підозрілою активністю на рахунках у найближчі місяці, оскільки дані посвідчення водія підтримують довгострокове шахрайство з особою, а не швидкий одноразовий удар. Будьте пильними до фішингових повідомлень, які використовують точні особисті дані, щоб виглядати легітимними. Нарешті, звертайте увагу на те, які сторонні сервіси використовує бізнес, перш ніж передавати державне посвідчення, оскільки саме цей постачальник, а не продавець, якому ви довіряєте, часто насправді зберігає ваші дані.
