Eksperci ostrzegają: wyciek danych z serwisu Nexus ID ujawnia schemat oszustwa

Pod koniec sierpnia na dark webie pojawił się rynek, który twierdził, że ma dostęp do około 170 milionów rekordów, w tym ponad 153 milionów amerykańskich i kanadyjskich praw jazdy, 10 milionów innych dokumentów tożsamości, 3 miliony dokumentów podróży oraz co najmniej 579 000 kart medycznych. Jego operatorzy twierdzili, że informacje te były wykradane przez ponad rok z dużej firmy zajmującej się weryfikacją tożsamości.

Wyciek z serwisu Nexus wykracza daleko poza zwykły wyciek haseł

Wyciek haseł to poważna sprawa, ale zazwyczaj istnieje wyjście awaryjne: zmiana hasła. Dokumenty tożsamości wydane przez rząd to zupełnie inna sprawa. Dr Marilyne Ordekian zauważyła, że prawa jazdy zawierają informacje, które towarzyszą ludziom przez lata, jeśli nie na zawsze, w tym zdjęcie, adres zamieszkania i datę urodzenia.

„W przypadku wycieków haseł można zresetować swoje dane logowania i żyć dalej” – powiedziała Ordekian. Wyjaśniła, że w przypadku skradzionych dokumentów tożsamości wydanych przez rząd informacje te są faktycznie wpisane w tożsamość danej osoby i nie da się ich po prostu zresetować po tym, jak trafią w ręce przestępców.

To, co sprawia, że sprawa Nexusa jest szczególnie niepokojąca, to doniesienia o skanach w podczerwieni i ultrafiolecie. Ordekian wyjaśniła, że skanowanie to stanowi „środek bezpieczeństwa służący do weryfikacji autentyczności”, co oznacza, że jest wykorzystywane „do potwierdzenia autentyczności fizycznego dokumentu”. Ostrzegła, że przestępcy mogą potencjalnie dysponować „nie tylko Twoim dokumentem tożsamości, ale także planem i warstwą techniczną służącą do potwierdzenia jego autentyczności”.

To stwarza ogromne problemy. „Każdy system wymagający okazania dokumentu tożsamości – czy to przy otwieraniu konta bankowego, konta na giełdzie kryptowalut, wynajmie samochodu, weryfikacji przelewu itp. (wszystko, co opiera się na tego typu dokumencie tożsamości w celu weryfikacji tożsamości) – stanowi obecnie potencjalną powierzchnię ataku, którą można wykorzystać” – powiedziała Ordekian.

Skradzione elementy zabezpieczające zwiększają ryzyko oszustw

Gdy dane te trafią na rynki przestępcze, kradzież tożsamości to dopiero początek. Skradzione dane uwierzytelniające mogą potencjalnie zostać ponownie wykorzystane do podszywania się pod inne osoby, zakładania fałszywych kont bankowych, prania brudnych pieniędzy i innych oszustw. Ordekian ostrzegł, że materiały wykorzystujące promieniowanie podczerwone i ultrafioletowe mogą utrudnić systemom weryfikacyjnym wykrycie oszustw, ponieważ same dokumenty bazowe są autentyczne.

Istnieje również aspekt bezpieczeństwa fizycznego. „Obserwujemy na przykład w środowisku kryptowalut, jak niektórzy użytkownicy i ofiary naruszeń danych są identyfikowani jako inwestorzy i stają się celem fizycznych ataków mających na celu wyłudzenie ich aktywów” – podkreślił Ordekian. „W tej konkretnej sytuacji może to również stanowić zagrożenie dla ofiar przemocy domowej oraz osób objętych programami ochrony świadków”.

Ślad prowadzący do firmy Nexus wskazuje na IDScan.net, dostawcę usług weryfikacji tożsamości z siedzibą w Nowym Orleanie, który twierdzi, że przetwarza ponad 21 milionów weryfikacji tożsamości miesięcznie w ponad 20 000 lokalizacji. Firma IDScan nie potwierdziła oficjalnie, że doszło do naruszenia bezpieczeństwa, ale poinformowała klientów, że bada informacje sugerujące, iż dane mogły zostać ujawnione, oraz że firma „może być w to zamieszana”.

Nexus bierze pod lupę „miód” danych KYC

Incydent ten rodzi również niewygodne pytanie dotyczące systemów „poznaj swojego klienta” (KYC): czy gromadzenie ogromnych zbiorów dokumentów tożsamości tworzy „pułapkę”, której przestępcy nie są w stanie się oprzeć?

Artem Popov, szef działu produktów do zapobiegania oszustwom w firmie Sumsub, stwierdził, że zagrożenie wykracza poza samych dostawców usług KYC. „Przechowywanie danych osobowych w dowolnym miejscu wiąże się z ryzykiem i dotyczy to każdej firmy, która się nimi zajmuje, nie tylko dostawców usług KYC” – powiedział Popov serwisowi Bitcoin.com News. Dodał, że ludzie powinni skutecznie zakładać, iż zdjęcie dokumentu zostaje ujawnione po opublikowaniu go w Internecie, ponieważ może ono przepływać przez liczne serwisy pozostające poza ich kontrolą.

Popov ostrzegł również, że skradzione dokumenty to tylko jeden z elementów mechanizmu oszustwa. „Wiele z tych wycieków wynika również z inżynierii społecznej, w ramach której po prostu przekonuje się kogoś do przekazania swoich danych, i właśnie dlatego samo zdjęcie dokumentu nigdy nie powinno wystarczać do rejestracji jakiejkolwiek osoby” – powiedział Popov.

Eksperci domagają się weryfikacji tożsamości wykraczającej poza sam dokument

Popov stwierdził, że kolejnym krokiem jest dodanie kolejnej warstwy zabezpieczeń. „Tak samo jak hasło nie wystarcza już do zalogowania się do jakichkolwiek wrażliwych systemów, tak dokument wymaga drugiego czynnika, takiego jak weryfikacja żywości, aby potwierdzić, że faktycznie należy do osoby, która go przedstawia”. Weryfikacja żywości zazwyczaj wymaga od użytkownika udowodnienia, że fizycznie obecna jest prawdziwa osoba, a nie ktoś, kto po prostu przesyła skradzione zdjęcie lub dokument.

Samo zastąpienie dokumentów tożsamości danymi biometrycznymi również nie jest panaceum. Popov ostrzegł, że biometria niesie ze sobą własne, trwałe ryzyko, ponieważ twarzy ani innego identyfikatora biologicznego nie da się ponownie wydać po naruszeniu bezpieczeństwa. Tymczasem Ordekian stwierdził, że ten incydent powinien skłonić do głębszej analizy zasad bezpieczeństwa weryfikacji tożsamości oraz sposobu egzekwowania tych zabezpieczeń.

Według serwisu „Krebs on Security” śledztwo FBI nadal trwa, złożono już wnioski o wszczęcie pozwów zbiorowych, a firma IDScan nie opublikowała jeszcze pełnego raportu kryminalistycznego, co oznacza, że branża nie jest jeszcze całkowicie bezpieczna, ponieważ śledczy pracują nad ustaleniem, co dokładnie się wydarzyło i jaki jest zasięg naruszenia.