Эксперты предупреждают: утечка данных Nexus ID раскрывает схему мошенничества

В конце августа на дарквебе появилась торговая площадка, заявлявшая о доступе к примерно 170 миллионам записей, включая более 153 миллионов водительских удостоверений США и Канады, 10 миллионов других удостоверений личности, 3 миллиона проездных документов и не менее 579 000 медицинских карт. Его операторы утверждали, что информация похищалась на протяжении более года из крупной компании, занимающейся проверкой личности.

Утечка данных Nexus выходит далеко за рамки простого слива паролей

Утечка паролей — это неприятно, но обычно есть выход: сменить пароль. С государственными удостоверениями личности дело обстоит иначе. Доктор Марилин Ордекиан отметила, что водительские права содержат информацию, которая сопровождает людей годами, если не навсегда, включая фотографию, домашний адрес и дату рождения.

«В случае утечки паролей можно сбросить свои учетные данные и жить дальше», — сказала Ордекиан. Она пояснила, что в случае кражи государственных удостоверений личности информация фактически становится неотъемлемой частью личности человека и не может быть просто сброшена после того, как преступники завладеют ею.

Что делает утечку данных из системы Nexus особенно тревожной, так это сообщения о наличии инфракрасных и ультрафиолетовых сканов. Ордекиан пояснила, что эти сканирования являются «мерой безопасности, используемой для проверки подлинности», то есть они применяются «для подтверждения подлинности физического документа». Она предупредила, что преступники потенциально могут иметь «не только ваше удостоверение личности, но и чертеж, а также технический слой, используемый для подтверждения подлинности вашего удостоверения».

Это чревато огромными проблемами. «Любая система, требующая предъявления удостоверения личности — будь то открытие банковского счета, счета на криптовалютной бирже, аренда автомобиля, подтверждение банковского перевода и т. д. (всё, что полагается на этот тип удостоверений для проверки личности) — теперь представляет собой потенциальную уязвимость, которой можно воспользоваться», — сказала Ордекиан.

Кража защитных элементов повышает риск мошенничества

Как только эти данные попадают на криминальные рынки, кража личных данных становится лишь отправной точкой. Украденные учетные данные потенциально могут быть повторно использованы для подражания личности, создания мошеннических банковских счетов, отмывания денег и других махинаций. Ордекиан предупредил, что инфракрасные и ультрафиолетовые материалы могут затруднить обнаружение мошенничества системами проверки, поскольку сами исходные документы являются подлинными.

Существует также аспект физической безопасности. «Например, в сфере криптовалют мы наблюдаем, как некоторых пользователей и жертв утечек данных идентифицируют как инвесторов и подвергают физическому преследованию с целью заставить их передать свои активы», — подчеркнул Ордекиан. «В данной ситуации это также может подвергнуть опасности жертв домашнего насилия и участников программ защиты свидетелей».

След Nexus указывает на IDScan.net — провайдера услуг по проверке личности из Нового Орлеана, который, по собственным данным, обрабатывает более 21 миллиона проверок личности в месяц в более чем 20 000 точках. IDScan официально не подтвердила факт взлома, но компания сообщила клиентам, что расследует информацию, указывающую на возможную утечку данных, и что компания «может быть к этому причастна».

Nexus подвергает тщательному анализу «медовую ловушку» данных KYC

Этот инцидент также поднимает неудобный вопрос для систем «знай своего клиента» (KYC): создает ли сбор огромных массивов документов, удостоверяющих личность, «медовый горшок», которому преступники не смогут устоять?

Артем Попов, руководитель отдела продуктов по предотвращению мошенничества в Sumsub, заявил, что опасность выходит за рамки одних только поставщиков услуг KYC. «Хранение персональных данных где бы то ни было сопряжено с риском, и это касается любого бизнеса, работающего с ними, а не только поставщиков KYC», — сказал Попов в интервью Bitcoin.com News. Он отметил, что люди должны исходить из того, что фотография документа считается утечённой, как только она попадает в сеть, поскольку может проходить через множество сервисов, находящихся вне их контроля.

Попов также предупредил, что похищенные документы — лишь одна из составляющих механизма мошенничества. «Многие из этих утечек также сводятся к социальной инженерии, когда кого-то просто убеждают передать свои данные, и именно поэтому одной фотографии документа никогда не должно быть достаточно для регистрации кого-либо», — сказал Попов.

Эксперты призывают выходить за рамки проверки личности по документам

По словам Попова, следующим шагом станет добавление еще одного уровня безопасности. «Точно так же, как одного пароля уже недостаточно для входа в любую систему с конфиденциальными данными, документ должен сопровождаться вторым фактором, например проверкой живого лица, чтобы подтвердить, что он действительно принадлежит лицу, предъявляющему его». Проверка живого лица, как правило, требует от пользователя доказать, что перед системой находится реальное лицо, а не кто-то, кто просто отправляет украденную фотографию или документ.

Простая замена удостоверений личности на биометрические данные также не является панацеей. Попов предупредил, что биометрия несет в себе собственный постоянный риск, поскольку лицо или другой биологический идентификатор невозможно перевыпустить после компрометации. Ордекиан, в свою очередь, заявил, что этот инцидент должен подтолкнуть к более глубокому анализу правил безопасности проверки личности и способов обеспечения этих мер защиты.

Согласно информации Krebs on Security, расследование ФБР по-прежнему продолжается, уже поданы предложения о коллективных исках, а компания IDScan до сих пор не опубликовала полный отчет о результатах экспертизы, в результате чего отрасль пока не вышла из кризиса, поскольку следователи продолжают выяснять, что именно произошло и насколько широко распространилась утечка данных.