La violazione dei dati di Nexus ID rivela un modello per le frodi, avvertono gli esperti

Il marketplace del dark web è emerso alla fine di agosto, dichiarando di avere accesso a circa 170 milioni di record, tra cui oltre 153 milioni di patenti di guida statunitensi e canadesi, 10 milioni di altri documenti d’identità, 3 milioni di documenti di viaggio e almeno 579.000 tessere sanitarie. I suoi gestori hanno affermato che le informazioni erano state sottratte per oltre un anno da un’importante società di verifica dell’identità.

La fuga di dati da Nexus va ben oltre un semplice dump di password

Una violazione delle password è grave, ma di solito c’è una via d’uscita: cambiare la password. I documenti d’identità governativi sono tutta un’altra storia. La dottoressa Marilyne Ordekian ha osservato che le patenti di guida contengono informazioni che accompagnano le persone per anni, se non per sempre, tra cui la fotografia, l’indirizzo di residenza e la data di nascita.

«In caso di violazioni che comportano la fuga di password, è possibile reimpostare le proprie credenziali e andare avanti», ha affermato Ordekian. Con i documenti d’identità governativi rubati, ha spiegato, le informazioni sono di fatto integrate nell’identità di una persona e non possono essere semplicemente reimpostate dopo che i criminali ne sono entrati in possesso. Ciò che rende Nexus particolarmente allarmante è la presenza segnalata di scansioni a infrarossi e ultraviolette. Ordekian ha spiegato che queste scansioni sono «una misura di sicurezza utilizzata per verificare l’autenticità», il che significa che vengono impiegate «per autenticare un documento fisico come genuino». Ha avvertito che i criminali potrebbero avere «non solo il tuo documento d’identità, ma anche lo schema e la struttura tecnica utilizzati per dimostrare che il tuo documento è autentico».

Ciò comporta una serie di gravi problemi. “Ogni sistema che richiede un documento d’identità, che si tratti dell’apertura di un conto bancario, di un conto su una piattaforma di scambio di criptovalute, del noleggio di un’auto, della verifica di un bonifico bancario ecc. (qualsiasi cosa che si basi su questo tipo di documento per la verifica dell’identità) è ora una potenziale superficie di attacco che può essere sfruttata”, ha affermato Ordekian.

Le caratteristiche di sicurezza rubate aumentano il rischio di frodi

Una volta che tali dati raggiungono i mercati criminali, il furto d’identità è solo il punto di partenza. Le credenziali rubate potrebbero potenzialmente essere riutilizzate per l’usurpazione d’identità, conti bancari fraudolenti, riciclaggio di denaro e altri schemi illeciti. Ordekian ha avvertito che il materiale a infrarossi e ultravioletto potrebbe rendere più difficile per i sistemi di verifica individuare gli usi fraudolenti, poiché i documenti sottostanti sono autentici.

C’è anche un aspetto legato alla sicurezza fisica. “Abbiamo osservato, ad esempio nel settore delle criptovalute, come alcuni utenti e vittime di violazioni dei dati vengano identificati come investitori e presi di mira fisicamente per sottrarre loro i beni”, ha sottolineato Ordekian. «In questo contesto, ciò può anche mettere in pericolo le vittime di violenza domestica e le persone inserite in programmi di protezione dei testimoni».

Le tracce di Nexus hanno portato a IDScan.net, un fornitore di servizi di verifica dell’identità con sede a New Orleans, che dichiara di elaborare oltre 21 milioni di controlli di identità al mese in più di 20.000 sedi. IDScan non ha confermato ufficialmente di aver subito una violazione, ma l’azienda ha comunicato ai clienti che sta indagando su informazioni che suggeriscono che i dati potrebbero essere stati esposti e che l’azienda “potrebbe essere coinvolta”.

Nexus mette sotto la lente d’ingrandimento l’“honeypot” dei dati KYC

L’episodio solleva inoltre una domanda scomoda per i sistemi “know-your-customer” (KYC): la raccolta di enormi archivi di documenti d’identità crea un “honeypot” che diventa irresistibile per i criminali? Artem Popov, responsabile dei prodotti per la prevenzione delle frodi presso Sumsub, ha affermato che il pericolo va oltre i soli fornitori di servizi KYC. «Archiviare dati personali ovunque comporta un rischio, e questo vale per qualsiasi azienda che li gestisca, non solo per i fornitori di servizi KYC», ha dichiarato Popov a Bitcoin.com News. Ha aggiunto che le persone dovrebbero di fatto dare per scontato che la fotografia di un documento sia esposta una volta condivisa online, poiché può passare attraverso numerosi servizi al di fuori del loro controllo.

Popov ha inoltre avvertito che i documenti rubati sono solo una parte del meccanismo delle frodi. “Molte di queste fughe di dati sono anche frutto di ingegneria sociale, in cui qualcuno viene semplicemente convinto a fornire i propri dati; questo è esattamente il motivo per cui la foto di un documento da sola non dovrebbe mai essere sufficiente per l’onboarding di chiunque”, ha affermato Popov.

Gli esperti spingono per controlli di identità che vadano oltre il documento

Il passo successivo, ha affermato Popov, è aggiungere un ulteriore livello di sicurezza. «Proprio come una password non è più sufficiente per accedere a sistemi sensibili, un documento deve essere supportato da un secondo fattore di autenticazione, come il rilevamento della vitalità, per confermare che appartenga effettivamente alla persona che lo presenta». Il rilevamento della vitalità richiede generalmente all’utente di dimostrare di essere una persona reale fisicamente presente, anziché qualcuno che si limita a inviare una foto o un documento rubato.

Neanche la semplice sostituzione dei documenti d’identità con dati biometrici rappresenta una soluzione miracolosa. Popov ha avvertito che la biometria comporta un rischio permanente intrinseco, poiché un volto o un altro identificatore biologico non può essere riemesso una volta compromesso. Ordekian, dal canto suo, ha affermato che l’episodio dovrebbe spingere a un esame più approfondito delle regole di sicurezza relative alla verifica dell’identità e delle modalità con cui tali protezioni vengono applicate.

L’indagine dell’FBI rimane aperta, secondo Krebs on Security; sono già state intentate azioni collettive e IDScan deve ancora pubblicare un resoconto forense completo, lasciando il settore ancora in una situazione di incertezza mentre gli investigatori lavorano per determinare esattamente cosa sia successo e quale sia la portata della violazione.