Dataintrång hos Nexus ID avslöjar en mall för bedrägerier, varnar experter

Marknadsplatsen på dark web dök upp i slutet av augusti och hävdade att den hade tillgång till cirka 170 miljoner register, däribland mer än 153 miljoner amerikanska och kanadensiska körkort, 10 miljoner andra ID-handlingar, 3 miljoner resedokument och minst 579 000 sjukvårdskort. Marknadsplatsens operatörer hävdade att informationen hade stulits under mer än ett år från ett stort företag som arbetar med identitetsverifiering.

Nexus-läckan går långt utöver en lösenordsdump

Ett lösenordsintrång är obehagligt, men det finns vanligtvis en utväg: att byta lösenord. Officiella identitetshandlingar är en helt annan sak. Dr Marilyne Ordekian påpekade att körkort innehåller information som följer människor i åratal, om inte för alltid, inklusive deras foto, hemadress och födelsedatum.

”När lösenord läcker ut kan man återställa sina inloggningsuppgifter och gå vidare”, sa Ordekian. När det gäller stulna myndighetsutfärdade ID-handlingar, förklarade hon, är informationen i praktiken inbäddad i en persons identitet och kan inte bara återställas efter att brottslingar har fått tag på den.

Det som gör Nexus särskilt alarmerande är de rapporterade infraröda och ultravioletta skanningarna. Ordekian förklarade att dessa skanningar är ”en säkerhetsåtgärd som används för att verifiera äktheten”, vilket innebär att de används ”för att bekräfta att ett fysiskt dokument är äkta”. Hon varnade för att brottslingar potentiellt sett har ”inte bara ditt ID-kort, utan även ritningen och det tekniska underlaget som används för att bevisa att ditt ID-kort är äkta”.

Det öppnar upp för stora problem. ”Varje system som kräver ID, vare sig det gäller att öppna ett bankkonto, ett konto på en kryptovalutabörs, hyra en bil, verifiera en banköverföring etc. (allt som förlitar sig på denna typ av ID för identitetsverifiering) är nu en potentiell attackyta som kan utnyttjas”, sade Ordekian.

Stulna säkerhetsfunktioner höjer insatserna för bedrägerier

När dessa uppgifter når den kriminella marknaden är identitetsstöld bara början. Stulna inloggningsuppgifter kan potentiellt återanvändas för identitetsbedrägeri, bedrägliga bankkonton, penningtvätt och andra bedrägerier. Ordekian varnade för att det infraröda och ultravioletta materialet kan göra det svårare för verifieringssystemen att upptäcka bedrägerier, eftersom de underliggande dokumenten i sig är äkta.

Det finns också en aspekt som rör fysisk säkerhet. ”Vi har till exempel inom kryptovalutavärlden sett hur vissa användare och offer för dataintrång identifieras som investerare och blir fysiskt utsatta för påtryckningar för att lämna ifrån sig sina tillgångar”, betonade Ordekian. ”I den här situationen kan det också utsätta överlevare av våld i hemmet och personer i vittnesskyddsprogram för fara.”

Spåren från Nexus har pekat mot IDScan.net, en leverantör av identitetsverifiering baserad i New Orleans, som uppger att man hanterar mer än 21 miljoner identitetskontroller per månad på över 20 000 platser. IDScan har inte formellt bekräftat att man utsatts för ett dataintrång, men företaget har meddelat sina kunder att man utreder uppgifter som tyder på att data kan ha läckt ut och att företaget ”kan vara inblandat”.

Nexus granskar KYC-datans ”honeypot” noggrant

Händelsen väcker också en obekväm fråga för KYC-system (Know Your Customer): Skapar insamlingen av enorma databaser med identitetshandlingar en honungstunna som blir oemotståndlig för brottslingar?

Artem Popov, chef för bedrägeribekämpningsprodukter på Sumsub, sa att faran är större än bara KYC-leverantörerna. ”Att lagra personuppgifter var som helst medför en risk, och det gäller alla företag som hanterar sådan information, inte bara KYC-leverantörer”, sa Popov till Bitcoin.com News. Han menade att man i praktiken bör utgå från att en dokumentbild är exponerad så fort den delas online, eftersom den kan passera genom ett stort antal tjänster som ligger utanför ens kontroll.

Popov varnade också för att stulna dokument bara är en del av bedrägerimekanismen. ”Många av dessa läckor beror också på social manipulation, där någon helt enkelt övertalas att lämna ut sina uppgifter, vilket är precis anledningen till att en bild på ett dokument i sig aldrig borde räcka för att registrera någon”, sa Popov.

Experter förespråkar identitetskontroller utöver dokumenten

Nästa steg, sa Popov, är att lägga till ytterligare ett lager. ”På samma sätt som ett lösenord inte längre räcker för att logga in på något känsligt, behöver ett dokument en andra faktor, till exempel livsteckenkontroll, för att bekräfta att det faktiskt tillhör den person som visar upp det.” Livsteckenkontroll innebär vanligtvis att användaren måste bevisa att en verklig person är fysiskt närvarande, istället för att någon bara skickar in ett stulet foto eller dokument.

Att helt enkelt ersätta ID-handlingar med biometriska data är inte heller någon mirakelkur. Popov varnade för att biometri medför en egen permanent risk, eftersom ett ansikte eller annan biologisk identifierare inte kan utfärdas på nytt om det väl har komprometterats. Ordekian menade å sin sida att händelsen bör tvinga fram en djupare granskning av säkerhetsreglerna för identitetsverifiering och hur dessa skyddsåtgärder tillämpas.

FBI:s utredning pågår fortfarande, enligt Krebs on Security, föreslagna grupptalan har redan lämnats in och IDScan har ännu inte publicerat en fullständig teknisk redogörelse, vilket innebär att branschen inte är ur skogen ännu medan utredarna arbetar för att fastställa exakt vad som hände och hur omfattande dataläckaget är.