Peluang Penipuan Terungkap Akibat Kebocoran Data Nexus ID, Para Ahli Memperingatkan

Pasar gelap di dark web tersebut muncul pada akhir Agustus, mengklaim memiliki akses ke sekitar 170 juta catatan, termasuk lebih dari 153 juta SIM AS dan Kanada, 10 juta identitas lainnya, 3 juta dokumen perjalanan, dan setidaknya 579.000 kartu kesehatan. Para pengelolanya mengklaim bahwa informasi tersebut telah disedot selama lebih dari setahun dari sebuah perusahaan verifikasi identitas besar.

Bocoran Nexus Jauh Melampaui Sekadar Pembocoran Kata Sandi

Kebocoran kata sandi memang buruk, tetapi biasanya ada jalan keluar: ganti kata sandi. Identitas pemerintah adalah masalah yang berbeda. Dr. Marilyne Ordekian mencatat bahwa SIM berisi informasi yang melekat pada seseorang selama bertahun-tahun, bahkan mungkin selamanya, termasuk foto, alamat rumah, dan tanggal lahir.

“Dalam kasus kebocoran kata sandi, seseorang dapat mereset kredensialnya dan melanjutkan hidup,” kata Ordekian. Namun, dengan identitas pemerintah yang dicuri, ia menjelaskan, informasi tersebut secara efektif telah menjadi bagian tak terpisahkan dari identitas seseorang dan tidak dapat dengan mudah direset setelah jatuh ke tangan penjahat.

Yang membuat kasus Nexus sangat mengkhawatirkan adalah adanya laporan mengenai pemindaian inframerah dan ultraviolet. Ordekian menjelaskan bahwa pemindaian ini merupakan “langkah keamanan yang digunakan untuk memverifikasi keaslian,” artinya pemindaian tersebut digunakan “untuk memastikan keaslian dokumen fisik.” Ia memperingatkan bahwa penjahat berpotensi memiliki “bukan hanya identitas Anda, tetapi juga cetak biru dan lapisan teknis yang digunakan untuk membuktikan keaslian identitas Anda.”

Hal itu membuka peluang terjadinya banyak masalah. “Setiap sistem yang memerlukan identitas, baik itu membuka rekening bank, akun bursa mata uang kripto, menyewa mobil, memverifikasi transfer kawat, dan sebagainya (apa pun yang mengandalkan jenis identitas ini untuk verifikasi identitas), kini menjadi titik serangan potensial yang dapat dieksploitasi,” kata Ordekian.

Fitur Keamanan yang Dicuri Meningkatkan Risiko Penipuan

Begitu data tersebut sampai ke pasar gelap, pencurian identitas hanyalah titik awal. Kredensial yang dicuri berpotensi didaur ulang untuk peniruan identitas, rekening bank palsu, pencucian uang, dan skema lainnya. Ordekian memperingatkan bahwa bahan inframerah dan ultraviolet dapat mempersulit sistem verifikasi untuk mendeteksi penggunaan palsu karena dokumen aslinya sendiri memang asli.

Ada juga aspek keamanan fisik. “Kami telah melihat di ruang kripto, misalnya, bagaimana beberapa pengguna dan korban kebocoran data diidentifikasi sebagai investor dan menjadi sasaran secara fisik untuk menyerahkan aset mereka,” tegas Ordekian. “Dalam situasi ini, hal tersebut juga dapat membahayakan para penyintas kekerasan dalam rumah tangga dan orang-orang yang berada dalam program perlindungan saksi.”

Jejak Nexus mengarah ke penyedia verifikasi identitas yang berbasis di New Orleans, IDScan.net, yang menyatakan bahwa mereka memproses lebih dari 21 juta pemeriksaan identitas per bulan di lebih dari 20.000 lokasi. IDScan belum secara resmi mengonfirmasi bahwa sistemnya diretas, tetapi perusahaan tersebut memberi tahu pelanggannya bahwa mereka sedang menyelidiki informasi yang mengindikasikan data mungkin telah bocor dan bahwa perusahaan tersebut “mungkin terlibat.”

Nexus Meneliti Lebih Dalam Perangkap Data KYC

Insiden ini juga memunculkan pertanyaan yang tidak nyaman bagi sistem know-your-customer (KYC): Apakah mengumpulkan gudang data dokumen identitas yang sangat besar menciptakan perangkap yang tak tertahankan bagi para penjahat?

Artem Popov, kepala produk pencegahan penipuan di Sumsub, mengatakan bahwa bahayanya lebih luas daripada sekadar penyedia KYC. “Menyimpan data pribadi di mana pun memiliki risiko, dan hal itu berlaku bagi semua bisnis yang mengelolanya, bukan hanya penyedia KYC,” kata Popov kepada Bitcoin.com News. Ia mengatakan bahwa orang sebaiknya menganggap foto dokumen telah terekspos begitu dibagikan secara daring karena foto tersebut dapat melewati berbagai layanan di luar kendali mereka.

Popov juga memperingatkan bahwa dokumen yang dicuri hanyalah salah satu bagian dari mesin penipuan. “Banyak kebocoran ini juga bermuara pada rekayasa sosial, di mana seseorang hanya dibujuk untuk menyerahkan datanya, dan itulah mengapa foto dokumen saja seharusnya tidak pernah cukup untuk memproses pendaftaran siapa pun,” kata Popov.

Para Ahli Mendorong Pemeriksaan Identitas Melampaui Dokumen

Langkah selanjutnya, kata Popov, adalah menambahkan lapisan keamanan tambahan. “Sama seperti kata sandi tidak lagi cukup untuk masuk ke sistem sensitif apa pun, sebuah dokumen memerlukan faktor kedua di belakangnya, seperti deteksi keaslian, untuk memastikan bahwa dokumen tersebut benar-benar milik orang yang menunjukkannya.” Deteksi keaslian umumnya meminta pengguna untuk membuktikan bahwa orang sungguhan secara fisik hadir, bukan sekadar mengirimkan foto atau dokumen yang dicuri.

Hanya mengganti identitas dengan data biometrik juga bukan solusi ajaib. Popov memperingatkan bahwa biometrik membawa risiko permanen tersendiri karena wajah atau pengenal biologis lainnya tidak dapat diterbitkan ulang setelah terkompromi. Sementara itu, Ordekian mengatakan insiden ini harus memaksa pemeriksaan lebih mendalam terhadap aturan keamanan verifikasi identitas dan bagaimana perlindungan tersebut ditegakkan.

Penyelidikan FBI masih berlangsung, menurut Krebs on Security, gugatan class action telah diajukan, dan IDScan belum menerbitkan laporan forensik lengkap, sehingga industri ini belum sepenuhnya aman sementara para penyelidik berupaya menentukan secara pasti apa yang terjadi dan sejauh mana dampak kebocoran tersebut.