Vazamento de dados da Nexus ID revela um esquema de fraude, alertam especialistas

O mercado da dark web surgiu no final de agosto, alegando ter acesso a cerca de 170 milhões de registros, incluindo mais de 153 milhões de carteiras de habilitação dos EUA e do Canadá, 10 milhões de outros documentos de identidade, 3 milhões de documentos de viagem e pelo menos 579 mil cartões de saúde. Seus operadores alegaram que as informações haviam sido roubadas por mais de um ano de uma grande empresa de verificação de identidade.

O vazamento da Nexus vai muito além de um vazamento de senhas

Um vazamento de senhas é grave, mas geralmente há uma saída: alterar a senha. A identificação governamental é um caso à parte. A Dra. Marilyne Ordekian observou que as carteiras de habilitação contêm informações que acompanham as pessoas por anos, se não para sempre, incluindo sua fotografia, endereço residencial e data de nascimento.

“Com vazamentos de senhas, é possível redefinir as credenciais e seguir em frente”, disse Ordekian. Com documentos de identidade oficiais roubados, explicou ela, as informações ficam efetivamente incorporadas à identidade da pessoa e não podem ser simplesmente redefinidas depois que os criminosos colocam as mãos nelas.

O que torna o caso da Nexus particularmente alarmante é a presença relatada de digitalizações por infravermelho e ultravioleta. Ordekian explicou que essas varreduras são “uma medida de segurança usada para verificar a autenticidade”, o que significa que são utilizadas “para autenticar um documento físico como genuíno”. Ela alertou que os criminosos podem ter “não apenas sua identidade, mas também o modelo e a camada técnica usados para provar que sua identidade é genuína”.

Isso abre as portas para uma série de problemas. “Todo sistema que exija identificação, seja para abrir uma conta bancária, uma conta em uma corretora de criptomoedas, alugar um carro, verificar uma transferência bancária etc. (qualquer coisa que dependa desse tipo de identificação para verificação de identidade) é agora uma superfície de ataque em potencial que pode ser explorada”, disse Ordekian.

Recursos de segurança roubados aumentam os riscos de fraude

Quando esses registros chegam aos mercados criminosos, o roubo de identidade é apenas o ponto de partida. Credenciais roubadas podem ser potencialmente reutilizadas para suplantar identidade, abrir contas bancárias fraudulentas, lavagem de dinheiro e outros esquemas. Ordekian alertou que o material infravermelho e ultravioleta pode tornar o uso fraudulento mais difícil de ser detectado pelos sistemas de verificação, pois os documentos originais em si são reais.

Há também uma questão de segurança física. “Temos observado, no âmbito das criptomoedas, por exemplo, como alguns usuários e vítimas de violações de dados estão sendo identificados como investidores e alvo de ataques físicos para que entreguem seus ativos”, enfatizou Ordekian. “Nessa situação, isso também pode colocar em risco sobreviventes de violência doméstica e pessoas em programas de proteção a testemunhas.”

As investigações do caso Nexus apontaram para a IDScan.net, provedora de verificação de identidade sediada em Nova Orleans, que afirma processar mais de 21 milhões de verificações de identidade por mês em mais de 20.000 locais. A IDScan não confirmou formalmente que sofreu uma violação, mas a empresa informou aos clientes que estava investigando informações que sugerem que os dados podem ter sido expostos e que a empresa “pode estar envolvida”.

A Nexus coloca o “honeypot” de dados KYC sob a lupa

O episódio também levanta uma questão incômoda para os sistemas “conheça seu cliente” (KYC): a coleta de enormes bancos de dados de documentos de identidade cria um “honeypot” que se torna irresistível para criminosos?

Artem Popov, chefe de produtos de prevenção de fraudes da Sumsub, disse que o perigo vai além dos provedores de KYC. “Armazenar dados pessoais em qualquer lugar acarreta risco, e isso vale para qualquer empresa que lide com eles, não apenas para os provedores de KYC”, disse Popov ao Bitcoin.com News. Ele afirmou que as pessoas devem partir do princípio de que a foto de um documento fica exposta assim que é compartilhada online, pois pode passar por inúmeros serviços fora de seu controle.

Popov também alertou que documentos roubados são apenas uma peça da máquina de fraudes. “Muitos desses vazamentos também se resumem à engenharia social, em que alguém é simplesmente convencido a entregar seus dados, e é exatamente por isso que uma foto de documento por si só nunca deve ser suficiente para cadastrar ninguém”, disse Popov.

Especialistas defendem verificações de identidade além do documento

O próximo passo, disse Popov, é adicionar outra camada. “Da mesma forma que uma senha já não é suficiente para acessar nada confidencial, um documento precisa de um segundo fator de autenticação, como a detecção de vida, para confirmar que realmente pertence à pessoa que o apresenta.” A detecção de vida geralmente solicita que o usuário comprove que uma pessoa real está fisicamente presente, em vez de alguém que esteja apenas enviando uma foto ou documento roubado.

Simplesmente substituir documentos de identidade por dados biométricos também não é uma solução milagrosa. Popov alertou que a biometria traz seu próprio risco permanente, pois um rosto ou outro identificador biológico não pode ser reemitido uma vez comprometido. Ordekian, por sua vez, disse que o episódio deve forçar uma análise mais profunda das regras de segurança para verificação de identidade e de como essas proteções são aplicadas.

A investigação do FBI continua em andamento, de acordo com o site Krebs on Security; ações coletivas já foram propostas, e a IDScan ainda não publicou um relatório forense completo, o que significa que o setor ainda não está fora de perigo, enquanto os investigadores trabalham para determinar exatamente o que aconteceu e qual é a extensão da exposição.