Nexus ID-brudd avslører en oppskrift på svindel, advarer eksperter

Markedsplassen på dark web dukket opp i slutten av august og hevdet å ha tilgang til rundt 170 millioner poster, inkludert mer enn 153 millioner amerikanske og canadiske førerkort, 10 millioner andre ID-er, 3 millioner reisedokumenter og minst 579 000 helsekort. Operatørene hevdet at informasjonen hadde blitt tappet ut i mer enn ett år fra et stort selskap innen identitetsverifisering.

Nexus-lekkasjen går langt utover en passorddump

Et passordbrudd er stygt, men det finnes som regel en nødutgang: Bytt passord. Offentlig ID er et annet beist. Dr. Marilyne Ordekian påpekte at førerkort inneholder informasjon som følger folk i årevis, om ikke for alltid, inkludert fotografi, hjemmeadresse og fødselsdato.

«Ved brudd som lekker passord kan man tilbakestille legitimasjonen sin og gå videre», sa Ordekian. Med stjålne offentlige ID-er, forklarte hun, er informasjonen i praksis bakt inn i en persons identitet og kan ikke bare tilbakestilles etter at kriminelle får tak i den.

Det som gjør Nexus særlig alarmerende, er den rapporterte tilstedeværelsen av infrarøde og ultrafiolette skanninger. Ordekian forklarte at disse skanningene er «et sikkerhetstiltak som brukes for å verifisere ekthet», noe som betyr at de brukes «til å autentisere et fysisk dokument som ekte». Hun advarte om at kriminelle potensielt ikke bare har «ID-en din, men også har blåkopien og det tekniske laget som brukes til å bevise at ID-en din er ekte».

Det åpner for mye trøbbel. «Hvert system som er låst bak ID, enten det er å åpne en bankkonto, en konto på en kryptobørs, leie en bil, verifisere en bankoverføring osv. (alt som baserer seg på denne typen ID for identitetsverifisering), er nå en potensiell angrepsflate som kan utnyttes», sa Ordekian.

Stjålne sikkerhetsfunksjoner øker innsatsen for svindel

Når disse postene når kriminelle markeder, er identitetstyveri bare begynnelsen. Stjålne legitimasjoner kan potensielt resirkuleres til etterligning, falske bankkontoer, hvitvasking og andre opplegg. Ordekian advarte om at det infrarøde og ultrafiolette materialet kan gjøre svindel vanskeligere for verifiseringssystemer å oppdage fordi de underliggende dokumentene i seg selv er ekte.

Det finnes også en fysisk sikkerhetsvinkel. «Vi har sett innen kryptoområdet, for eksempel, hvordan noen brukere og ofre for databrudd blir identifisert som investorer og blir fysisk målrettet for å gi fra seg eiendelene sine», understreket Ordekian. «I denne situasjonen her kan det også sette overlevende etter vold i nære relasjoner og personer i vitnebeskyttelsesprogrammer i fare.»

Nexus-sporet har pekt mot identitetsverifiseringsleverandøren IDScan.net i New Orleans, som sier at de behandler mer enn 21 millioner identitetskontroller per måned på tvers av mer enn 20 000 lokasjoner. IDScan har ikke formelt bekreftet at de ble utsatt for et brudd, men selskapet sa til kunder at det undersøkte informasjon som antydet at data kan ha blitt eksponert, og at selskapet «kan være implisert».

Nexus setter KYC-data-honningkrukken under lupen

Hendelsen reiser også et ubehagelig spørsmål for «know-your-customer»-systemer, eller KYC: Skaper innsamling av massive samlinger av identitetsdokumenter en honningkrukke som blir uimotståelig for kriminelle?

Artem Popov, leder for produkter innen svindelforebygging i Sumsub, sa at faren er bredere enn bare KYC-leverandører. «Å lagre personopplysninger hvor som helst innebærer risiko, og det gjelder for enhver virksomhet som håndterer dem, ikke bare KYC-leverandører», sa Popov til Bitcoin.com News. Han sa at folk i praksis bør anta at et dokumentfoto er eksponert når det først deles på nettet, fordi det kan passere gjennom en rekke tjenester utenfor deres kontroll.

Popov advarte også om at stjålne dokumenter er bare én del av svindelmaskinen. «Mye av disse lekkasjene handler også om sosial manipulering, der noen rett og slett blir overtalt til å gi fra seg dataene sine, og det er nettopp derfor et dokumentfoto alene aldri bør være nok til å onboarde noen», sa Popov.

Eksperter vil flytte identitetskontroller forbi dokumentet

Neste steg, sa Popov, er å legge til et ekstra lag. «På samme måte som et passord ikke lenger er nok til å logge inn på noe sensitivt, trenger et dokument en andre faktor bak seg, som liveness-detektering, for å bekrefte at det faktisk tilhører personen som presenterer det.» Liveness-detektering ber vanligvis en bruker om å bevise at en virkelig person er fysisk til stede, i stedet for at noen bare sender inn et stjålet fotografi eller dokument.

Å erstatte ID-er med biometriske data er heller ingen sølvkule. Popov advarte om at biometri introduserer sin egen permanente risiko fordi et ansikt eller en annen biologisk identifikator ikke kan utstedes på nytt når den først er kompromittert. Ordekian sa på sin side at hendelsen bør tvinge fram en dypere gjennomgang av sikkerhetsreglene for identitetsverifisering og hvordan disse beskyttelsene håndheves.

FBI-etterforskningen er fortsatt åpen, ifølge Krebs on Security. Foreslåtte gruppesøksmål er allerede levert inn, og IDScan har ennå ikke publisert en full rettsmedisinsk redegjørelse, noe som betyr at bransjen fortsatt ikke er ute av skogen mens etterforskere jobber for å fastslå nøyaktig hva som skjedde og hvor langt eksponeringen rekker.