नेक्सस आईडी डेटा उल्लंघन ने धोखाधड़ी की रूपरेखा उजागर की, विशेषज्ञों ने चेतावनी दी

यह डार्क-वेब मार्केटप्लेस अगस्त के अंत में सामने आया, जिसमें यह दावा किया गया कि इसमें लगभग 170 मिलियन रिकॉर्ड तक पहुंच है, जिसमें 153 मिलियन से अधिक अमेरिकी और कनाडाई ड्राइविंग लाइसेंस, 10 मिलियन अन्य आईडी, 3 मिलियन यात्रा दस्तावेज़ और कम से कम 579,000 मेडिकल कार्ड शामिल हैं। इसके ऑपरेटरों ने दावा किया कि यह जानकारी एक प्रमुख पहचान सत्यापन कंपनी से एक साल से अधिक समय से चुराई जा रही थी।

नेक्सस लीक पासवर्ड डंप से कहीं ज़्यादा है

पासवर्ड का उल्लंघन भयानक होता है, लेकिन आमतौर पर इससे बचने का एक रास्ता होता है: पासवर्ड बदल लें। उन्होंने समझाया कि चोरी हुए सरकारी आईडी के साथ, जानकारी प्रभावी रूप से एक व्यक्ति की पहचान में समाहित हो जाती है और अपराधियों के हाथ लगने के बाद इसे आसानी से रीसेट नहीं किया जा सकता।

ऑर्डेकियन ने कहा, "पासवर्ड लीक होने पर, कोई भी अपनी क्रेडेंशियल को रीसेट कर सकता है और आगे बढ़ सकता है।" उन्होंने समझाया कि चोरी हुई सरकारी आईडी के साथ, जानकारी प्रभावी रूप से एक व्यक्ति की पहचान में समाहित हो जाती है और अपराधियों के हाथ लगने के बाद इसे आसानी से रीसेट नहीं किया जा सकता है।

जो बात नेक्सस को विशेष रूप से चिंताजनक बनाती है, वह है इन्फ्रारेड और अल्ट्रावायलेट स्कैन की रिपोर्ट की गई उपस्थिति। ओर्डेकियन ने समझाया कि ये स्कैन "प्रामाणिकता सत्यापित करने के लिए इस्तेमाल किया जाने वाला एक सुरक्षा उपाय" हैं, जिसका अर्थ है कि उनका उपयोग "एक भौतिक दस्तावेज़ को असली के रूप में प्रमाणीकृत करने के लिए" किया जाता है। उन्होंने चेतावनी दी कि अपराधियों के पास संभावित रूप से "सिर्फ आपका आईडी ही नहीं, बल्कि वह ब्लूप्रिंट और तकनीकी परत भी है जिसका उपयोग यह साबित करने के लिए किया जाता है कि आपका आईडी असली है।"

यह बहुत सारी मुसीबतें खड़ी करता है। ऑर्डेकियन ने कहा, "हर आईडी-आधारित प्रणाली, चाहे वह बैंक खाता खोलना हो, क्रिप्टोकरेंसी एक्सचेंज खाता खोलना हो, कार किराए पर लेना हो, वायर ट्रांसफर को सत्यापित करना हो आदि (कोई भी ऐसी चीज़ जो पहचान सत्यापन के लिए इस प्रकार की आईडी पर निर्भर करती है), अब एक संभावित हमला स्थल है जिसका फायदा उठाया जा सकता है।"

चोरी हुई सुरक्षा विशेषताएं धोखाधड़ी के जोखिम को बढ़ाती हैं

एक बार जब ये रिकॉर्ड आपराधिक बाजारों में पहुँच जाते हैं, तो पहचान की चोरी केवल एक शुरुआती बिंदु है। चोरी किए गए प्रमाण-पत्र संभावित रूप से छद्मवेश, धोखाधड़ी वाले बैंक खाते, मनी लॉन्ड्रिंग और अन्य योजनाओं के लिए फिर से इस्तेमाल किए जा सकते हैं। ओर्डेकियन ने चेतावनी दी कि इन्फ्रारेड और अल्ट्रावायलेट सामग्री का धोखाधड़ीपूर्ण उपयोग सत्यापन प्रणालियों के लिए पकड़ना मुश्किल बना सकता है क्योंकि मूल दस्तावेज़ स्वयं असली होते हैं।

एक भौतिक-सुरक्षा का पहलू भी है। ऑर्डेकियन ने जोर देकर कहा, "हम क्रिप्टोकरेंसी क्षेत्र में देख रहे हैं, उदाहरण के लिए, कैसे कुछ उपयोगकर्ताओं और डेटा उल्लंघन के पीड़ितों की पहचान निवेशकों के रूप में की जा रही है और उनकी संपत्ति छीनने के लिए उन्हें शारीरिक रूप से निशाना बनाया जा रहा है।" "इस स्थिति में, यह घरेलू हिंसा से बचे लोगों और गवाह सुरक्षा कार्यक्रमों में शामिल लोगों को भी खतरे में डाल सकता है।"

इस मामले का सिलसिला न्यू ऑरलियन्स स्थित पहचान सत्यापन प्रदाता IDScan.net की ओर जाता है, जो कहता है कि वह 20,000 से अधिक स्थानों पर प्रति माह 21 मिलियन से अधिक पहचान जांच करता है। IDScan ने औपचारिक रूप से पुष्टि नहीं की है कि उसका डेटा लीक हुआ है, लेकिन कंपनी ने ग्राहकों को बताया कि वह ऐसी जानकारी की जांच कर रही है जो यह सुझाव देती है कि डेटा उजागर हो सकता है और कंपनी "इसमें शामिल हो सकती है।"

नेक्सस ने केवाईसी डेटा हनीपॉट की बारीकी से जांच की

यह घटना 'अपने ग्राहक को जानें', या KYC, प्रणालियों के लिए एक असहज सवाल भी खड़ा करती है: क्या पहचान दस्तावेजों के विशाल भंडार को इकट्ठा करना एक ऐसा हनीपॉट बनाता है जो अपराधियों के लिए अप्रतिरोध्य हो जाता है?

Sumsub में धोखाधड़ी रोकथाम उत्पादों के प्रमुख, आर्टेम पॉपोव ने कहा कि खतरा सिर्फ KYC प्रदाताओं से कहीं अधिक व्यापक है। पोपोव ने Bitcoin.com न्यूज़ को बताया, "कहीं भी व्यक्तिगत डेटा संग्रहीत करने में जोखिम होता है, और यह केवल KYC प्रदाताओं के लिए ही नहीं, बल्कि इसे संभालने वाले किसी भी व्यवसाय के लिए सच है।" उन्होंने कहा कि लोगों को प्रभावी रूप से यह मान लेना चाहिए कि एक बार ऑनलाइन साझा हो जाने पर एक दस्तावेज़ की तस्वीर उजागर हो जाती है क्योंकि यह उनके नियंत्रण से परे कई सेवाओं से गुजर सकती है।

पोपोव ने यह भी चेतावनी दी कि चोरी हुए दस्तावेज़ धोखाधड़ी की मशीन का केवल एक हिस्सा हैं। पोपोव ने कहा, "इनमें से कई लीक सोशल इंजीनियरिंग के कारण भी होते हैं, जिसमें किसी को बस अपना डेटा सौंपने के लिए मना लिया जाता है, और यही कारण है कि किसी को ऑनबोर्ड करने के लिए केवल दस्तावेज़ की तस्वीर कभी भी पर्याप्त नहीं होनी चाहिए।"

विशेषज्ञ पहचान जांच को दस्तावेज़ से परे ले जा रहे हैं

अगला कदम, पॉपोव ने कहा, एक और परत जोड़ना है। "जिस तरह अब किसी भी संवेदनशील चीज़ में लॉग इन करने के लिए केवल पासवर्ड पर्याप्त नहीं है, उसी तरह एक दस्तावेज़ के पीछे एक दूसरे कारक की आवश्यकता होती है, जैसे कि जीवंतता का पता लगाना, ताकि यह पुष्टि की जा सके कि यह वास्तव में उसे पेश करने वाले व्यक्ति का ही है।" जीवंतता का पता लगाने में आम तौर पर उपयोगकर्ता से यह साबित करने के लिए कहा जाता है कि कोई असली व्यक्ति शारीरिक रूप से मौजूद है, न कि कोई केवल एक चोरी किया हुआ फोटो या दस्तावेज़ जमा कर रहा है।

केवल आईडी को बायोमेट्रिक डेटा से बदलना भी कोई चमत्कारी समाधान नहीं है। पोपोव ने चेतावनी दी कि बायोमेट्रिक्स अपना स्थायी जोखिम पैदा करते हैं क्योंकि एक बार समझौता हो जाने पर चेहरे या किसी अन्य जैविक पहचानकर्ता को फिर से जारी नहीं किया जा सकता है। इस बीच, ऑर्डेकियन ने कहा कि इस घटना को पहचान सत्यापन सुरक्षा नियमों और उन सुरक्षा उपायों को लागू करने के तरीके की गहरी जांच के लिए मजबूर करना चाहिए।

क्रैब्स ऑन सिक्योरिटी के अनुसार, एफबीआई की जांच अभी भी जारी है, प्रस्तावित सामूहिक मुकदमे पहले ही दायर किए जा चुके हैं, और आईडीस्कैन ने अभी तक एक पूर्ण फोरेंसिक विवरण प्रकाशित नहीं किया है, जिससे उद्योग अभी भी मुश्किल से बाहर नहीं निकला है क्योंकि जांचकर्ता यह निर्धारित करने के लिए काम कर रहे हैं कि वास्तव में क्या हुआ और यह खुलासा कितनी दूर तक पहुंचा है।