Únik údajů z Nexus ID odhaluje návod na podvody, varují odborníci

Tržiště na dark webu se objevilo koncem srpna a tvrdilo, že má přístup k přibližně 170 milionům záznamů, včetně více než 153 milionů amerických a kanadských řidičských průkazů, 10 milionů dalších dokladů totožnosti, 3 milionů cestovních dokladů a nejméně 579 000 zdravotních karet. Jeho provozovatelé tvrdili, že tyto informace byly po dobu více než jednoho roku odčerpávány z velké společnosti zabývající se ověřováním totožnosti.

Únik dat z Nexusu jde daleko za pouhý únik hesel

Únik hesel je nepříjemný, ale obvykle existuje úniková cesta: změnit heslo. Vládní identifikační doklady jsou však úplně jiná záležitost. Dr. Marilyne Ordekianová poznamenala, že řidičské průkazy obsahují informace, které provázejí lidi po celá léta, ne-li navždy, včetně jejich fotografie, adresy bydliště a data narození.

„V případě úniků hesel si člověk může své přihlašovací údaje resetovat a jít dál,“ řekla Ordekianová. V případě odcizených státních dokladů, vysvětlila, jsou tyto informace prakticky pevně zakotveny v identitě dané osoby a nelze je jednoduše resetovat poté, co se k nim dostanou zločinci.

Co činí případ Nexus obzvláště alarmujícím, je údajná přítomnost infračervených a ultrafialových skenů. Ordekianová vysvětlila, že tyto skeny jsou „bezpečnostním opatřením sloužícím k ověření pravosti“, což znamená, že se používají „k ověření, že fyzický dokument je pravý“. Varovala, že zločinci potenciálně disponují „nejen vaším průkazem, ale také jeho schématem a technickou vrstvou, která slouží k prokázání pravosti vašeho průkazu“.

To s sebou přináší spoustu potíží. „Každý systém vyžadující předložení dokladu totožnosti, ať už jde o otevření bankovního účtu, účtu na kryptoměnové burze, pronájem auta, ověření bankovního převodu atd. (vše, co se při ověřování totožnosti spoléhá na tento typ dokladu), je nyní potenciálním místem útoku, které lze zneužít,“ uvedla Ordekianová.

Ukradené bezpečnostní prvky zvyšují riziko podvodů

Jakmile se tyto záznamy dostanou na kriminální trhy, krádež identity je pouze začátek. Ukradené přihlašovací údaje by mohly být potenciálně znovu použity k vydávání se za jinou osobu, k podvodným bankovním účtům, praní špinavých peněz a dalším podvodům. Ordekian varoval, že díky infračervenému a ultrafialovému materiálu by mohlo být pro ověřovací systémy obtížnější odhalit podvodné použití, protože samotné podkladové dokumenty jsou pravé.

Existuje zde také aspekt fyzické bezpečnosti. „Například v oblasti kryptoměn jsme byli svědky toho, jak jsou někteří uživatelé a oběti úniků dat identifikováni jako investoři a stávají se terčem fyzických útoků s cílem přimět je k vydání svých aktiv,“ zdůraznil Ordekian. „V této situaci to může ohrozit i oběti domácího násilí a osoby v programech na ochranu svědků.“

Stopy vedou k poskytovateli ověřování totožnosti IDScan.net se sídlem v New Orleans, který uvádí, že měsíčně zpracovává více než 21 milionů ověření totožnosti na více než 20 000 místech. Společnost IDScan oficiálně nepotvrdila, že došlo k narušení bezpečnosti, ale sdělila zákazníkům, že vyšetřuje informace naznačující, že data mohla být odhalena, a že společnost „může být do této záležitosti zapletena“.

Nexus podrobně zkoumá „honeypot“ s údaji KYC

Tato událost také vyvolává nepříjemnou otázku ohledně systémů „know-your-customer“ (KYC): Vytváří shromažďování obrovských úložišť identifikačních dokladů „honeypot“, který se stává pro zločince neodolatelným?

Artem Popov, vedoucí produktů pro prevenci podvodů ve společnosti Sumsub, uvedl, že nebezpečí přesahuje rámec samotných poskytovatelů KYC. „Ukládání osobních údajů kdekoli s sebou nese riziko, a to platí pro jakoukoli firmu, která s nimi nakládá, nejen pro poskytovatele KYC,“ řekl Popov pro Bitcoin.com News. Uvedl, že lidé by měli v podstatě počítat s tím, že fotografie dokladu je po sdílení online vystavena riziku, protože může projít četnými službami mimo jejich kontrolu.

Popov také varoval, že ukradené dokumenty jsou pouze jednou ze součástí podvodného systému. „Mnoho z těchto úniků souvisí také se sociálním inženýrstvím, kdy je někdo jednoduše přesvědčen, aby svá data předal, a právě proto by fotografie dokumentu sama o sobě nikdy neměla stačit k registraci kohokoli,“ řekl Popov.

Odborníci prosazují ověřování totožnosti nad rámec dokladů

Dalším krokem, jak uvedl Popov, je přidání další vrstvy. „Stejně jako už heslo nestačí k přihlášení k čemukoli citlivému, i doklad potřebuje druhý faktor, jako je detekce živosti, aby se potvrdilo, že skutečně patří osobě, která jej předkládá.“ Detekce živosti obvykle vyžaduje, aby uživatel prokázal, že je fyzicky přítomna skutečná osoba, a ne někdo, kdo pouze předkládá ukradenou fotografii nebo doklad.

Ani pouhá náhrada identifikačních dokladů biometrickými údaji není všelékem. Popov varoval, že biometrie s sebou přinášejí vlastní trvalé riziko, protože obličej či jiný biologický identifikátor nelze po narušení bezpečnosti znovu vydat. Ordekian mezitím uvedl, že tato událost by měla vést k hlubšímu prozkoumání bezpečnostních pravidel pro ověřování identity a způsobu, jakým jsou tato opatření prosazována.

Vyšetřování FBI podle webu Krebs on Security stále probíhá, již byly podány návrhy na hromadné žaloby a společnost IDScan dosud nezveřejnila úplnou forenzní zprávu, takže odvětví ještě není z nejhoršího venku, zatímco vyšetřovatelé se snaží přesně určit, co se stalo a jak daleko sahá rozsah úniku dat.