Strokovnjaki opozarjajo, da je zaradi kršitve varnosti pri Nexus ID prišlo do razkritja načrta za goljufije

Tržnica na temnem spletu se je pojavila konec avgusta in trdila, da ima dostop do približno 170 milijonov zapisov, vključno z več kot 153 milijoni ameriških in kanadskih vozniških dovoljenj, 10 milijoni drugih osebnih izkaznic, 3 milijoni potnih listin in vsaj 579.000 zdravstvenih kartic. Njegovi upravljavci so trdili, da so podatke več kot leto dni izčrpavali iz velikega podjetja za preverjanje identitete.

Uhajanje podatkov iz sistema Nexus sega daleč onkraj zgolj izpisa gesel

Kršitev gesel je neprijetna, a ponavadi obstaja izhod v sili: spremenite geslo. Vladna identifikacija pa je povsem druga zgodba. Dr. Marilyne Ordekian je opozorila, da vozniška dovoljenja vsebujejo podatke, ki spremljajo ljudi več let, če ne celo za vedno, vključno s fotografijo, domačim naslovom in datumom rojstva.

»Pri kršitvah, pri katerih pride do uhajanja gesel, lahko posameznik ponastavi svoje prijavne podatke in gre naprej,« je dejala Ordekian. Pri ukradenih vladnih identifikacijskih dokumentih, je pojasnila, so podatki dejansko vgrajeni v identiteto osebe in jih ni mogoče preprosto ponastaviti, ko jih kriminalci pridobijo.

Kar je pri Nexusu še posebej zaskrbljujoče, je poročana prisotnost infrardečih in ultravijoličnih skenov. Ordekian je pojasnila, da so ti skeni »varnostni ukrep, ki se uporablja za preverjanje pristnosti«, kar pomeni, da se uporabljajo »za potrditev, da je fizični dokument pravi«. Opozorila je, da imajo kriminalci potencialno »ne le vašo identifikacijsko kartico, ampak tudi načrt in tehnično podlago, ki se uporabljata za dokazovanje pristnosti vaše identifikacijske kartice«.

To odpira veliko težav. »Vsak sistem, ki zahteva identifikacijski dokument – naj gre za odprtje bančnega računa, računa na borzi kriptovalut, najem avtomobila, preverjanje bančnega nakazila itd. (vse, kar se za preverjanje identitete opira na tovrstne identifikacijske dokumente) – je zdaj potencialna površina za napad, ki jo je mogoče izkoristiti,« je dejala Ordekian.

Ukradeni varnostni elementi povečujejo tveganje za goljufije

Ko ti podatki pridejo na kriminalne trge, je kraja identitete le začetek. Ukradeni podatki za prijavo se lahko potencialno ponovno uporabijo za prevzemanje identitete, goljufive bančne račune, pranje denarja in druge goljufije. Ordekian je opozoril, da bi infrardeči in ultravijolični materiali lahko otežili odkrivanje goljufive uporabe s strani sistemov za preverjanje, saj so osnovni dokumenti sami po sebi pravi.

Obstaja tudi vidik fizične varnosti. »V svetu kriptovalut na primer opažamo, kako se nekateri uporabniki in žrtve kršitev varnosti podatkov identificirajo kot vlagatelji in so fizično tarča napadov, da bi jim iztrgali premoženje,« je poudaril Ordekian. »V tem primeru lahko to ogrozi tudi žrtve nasilja v družini in osebe v programih za zaščito prič.«

Sledi v zvezi z Nexusom so vodile do ponudnika storitev preverjanja identitete IDScan.net s sedežem v New Orleansu, ki navaja, da mesečno opravi več kot 21 milijonov preverjanj identitete na več kot 20.000 lokacijah. Podjetje IDScan ni uradno potrdilo, da je prišlo do vdora, vendar je strankam sporočilo, da preiskuje informacije, ki kažejo, da so bili podatki morda izpostavljeni, in da je podjetje »morda vpleteno«.

Nexus pod drobnogled vzame »medeno past« za podatke KYC

Ta dogodek odpira tudi neprijetno vprašanje za sisteme »poznaj svojega stranko« (KYC): Ali zbiranje ogromnih zbirk identifikacijskih dokumentov ustvarja »honeypot«, ki postane za kriminalce neprepogledljiv?

Artem Popov, vodja oddelka za izdelke za preprečevanje goljufij pri podjetju Sumsub, je dejal, da nevarnost sega širše od samih ponudnikov KYC. »Shranjevanje osebnih podatkov kjerkoli prinaša tveganje, in to velja za vsako podjetje, ki z njimi ravna, ne le za ponudnike KYC,« je Popov povedal Bitcoin.com News. Dejal je, da bi morali ljudje dejansko predpostavljati, da je fotografija dokumenta izpostavljena, takoj ko jo delijo na spletu, saj lahko preide skozi številne storitve, nad katerimi nimajo nadzora.

Popov je tudi opozoril, da so ukradeni dokumenti le en del mehanizma goljufij. »Veliko teh uhajanj podatkov je povezanih tudi s socialnim inženirstvom, pri katerem nekoga preprosto prepričajo, da predloži svoje podatke, in prav zato fotografija dokumenta sama po sebi nikoli ne bi smela zadostovati za registracijo kogarkoli,« je dejal Popov.

Strokovnjaki spodbujajo preverjanje identitete, ki presega zgolj dokument

Naslednji korak, je dejal Popov, je dodajanje še ene plasti. »Tako kot geslo ni več dovolj za prijavo v kakršno koli občutljivo okolje, tudi dokument potrebuje drugi dejavnik, na primer preverjanje živosti, da se potrdi, da dejansko pripada osebi, ki ga predloži.« Preverjanje živosti na splošno od uporabnika zahteva, da dokaže, da je fizično prisotna resnična oseba, in ne le nekdo, ki predloži ukradeno fotografijo ali dokument.

Tudi preprosta zamenjava identifikacijskih dokumentov z biometričnimi podatki ni čudežno rešitev. Popov je opozoril, da biometrija prinaša svoje trajno tveganje, saj obraza ali drugega biološkega identifikatorja ni mogoče ponovno izdati, ko je enkrat ogrožen. Ordekian pa je dejal, da bi ta dogodek moral spodbuditi temeljitejšo preučitev varnostnih pravil za preverjanje identitete in načina izvrševanja teh zaščitnih ukrepov.

Preiskava FBI je še vedno odprta, kot poroča Krebs on Security, predlagane skupinske tožbe so že vložene, podjetje IDScan pa še ni objavilo celotnega forenzičnega poročila, zaradi česar panoga še ni izven nevarnosti, saj preiskovalci še vedno ugotavljajo, kaj točno se je zgodilo in kako daleč sega izpostavljenost.