การละเมิดข้อมูล Nexus ID เผยแผนแม่บทสำหรับการฉ้อโกง ผู้เชี่ยวชาญเตือน

ตลาดมืดบนดาร์กเว็บปรากฏขึ้นในช่วงปลายเดือนสิงหาคม โดยอ้างว่าสามารถเข้าถึงข้อมูลราว 170 ล้านรายการ รวมถึงใบขับขี่ของสหรัฐฯ และแคนาดามากกว่า 153 ล้านใบ บัตรประจำตัวอื่นๆ 10 ล้านรายการ เอกสารการเดินทาง 3 ล้านรายการ และบัตรประกันสุขภาพอย่างน้อย 579,000 ใบ ผู้ดำเนินการอ้างว่าข้อมูลดังกล่าวถูกดูดออกมาเป็นเวลากว่าหนึ่งปีจากบริษัทตรวจสอบยืนยันตัวตนรายใหญ่รายหนึ่ง

การรั่วไหลของ Nexus ไปไกลกว่าการเทกองรหัสผ่าน

การรั่วไหลของรหัสผ่านนั้นเลวร้าย แต่โดยปกติมักมีทางหนีทีไล่: เปลี่ยนรหัสผ่านก็พอ แต่บัตรประจำตัวที่ออกโดยรัฐเป็นคนละเรื่องกัน ดร. Marilyne Ordekian ระบุว่าใบขับขี่มีข้อมูลที่ติดตามผู้คนไปเป็นเวลาหลายปี หากไม่ถึงขั้นตลอดไป รวมถึงรูปถ่าย ที่อยู่บ้าน และวันเดือนปีเกิด

“ในการรั่วไหลที่ปล่อยรหัสผ่านออกมา เราสามารถรีเซ็ตข้อมูลรับรองแล้วเดินหน้าต่อได้” Ordekian กล่าว แต่สำหรับบัตรประจำตัวของรัฐที่ถูกขโมย เธออธิบายว่า ข้อมูลนั้นแทบจะถูก “อบติด” อยู่ในตัวตนของบุคคล และไม่สามารถรีเซ็ตได้ง่ายๆ หลังจากอาชญากรได้มันไป

สิ่งที่ทำให้ Nexus น่าตกใจเป็นพิเศษ คือมีรายงานว่ามีการสแกนด้วยอินฟราเรดและอัลตราไวโอเลต Ordekian อธิบายว่า การสแกนเหล่านี้เป็น “มาตรการความปลอดภัยที่ใช้ตรวจสอบความแท้” หมายความว่าใช้ “เพื่อยืนยันว่าเอกสารทางกายภาพเป็นของจริง” เธอเตือนว่าอาชญากรอาจมี “ไม่ใช่แค่บัตรของคุณ แต่ยังมีพิมพ์เขียวและชั้นเทคนิคที่ใช้พิสูจน์ว่าบัตรของคุณเป็นของแท้ด้วย”

นั่นเปิดประตูสู่ปัญหาจำนวนมาก “ทุกระบบที่มีการกั้นด้วยบัตรประจำตัว ไม่ว่าจะเป็นการเปิดบัญชีธนาคาร บัญชีในเว็บเทรดคริปโต การเช่ารถ การยืนยันการโอนเงินผ่านธนาคาร ฯลฯ (อะไรก็ตามที่พึ่งพาบัตรประเภทนี้เพื่อยืนยันตัวตน) ตอนนี้ล้วนเป็นพื้นผิวการโจมตีที่อาจถูกฉวยโอกาสได้” Ordekian กล่าว

ฟีเจอร์ความปลอดภัยที่ถูกขโมยเพิ่มเดิมพันของการฉ้อโกง

เมื่อบันทึกเหล่านั้นไปถึงตลาดของอาชญากร การขโมยตัวตนเป็นเพียงจุดเริ่มต้น ข้อมูลรับรองที่ถูกขโมยอาจถูกนำไปหมุนใช้ซ้ำเพื่อปลอมตัว เปิดบัญชีธนาคารปลอม ฟอกเงิน และแผนการอื่นๆ Ordekian เตือนว่าวัสดุอินฟราเรดและอัลตราไวโอเลตอาจทำให้ระบบตรวจสอบยากที่จะตรวจจับการใช้ในทางทุจริต เพราะตัวเอกสารต้นทางนั้นเป็นของจริง

ยังมีมุมด้านความปลอดภัยทางกายภาพด้วย “เราได้เห็นในวงการคริปโตเป็นตัวอย่างว่า ผู้ใช้บางคนและเหยื่อของเหตุข้อมูลรั่วไหลถูกระบุตัวว่าเป็นนักลงทุน และถูกเล็งเป้าทางกายภาพเพื่อให้ยอมส่งมอบทรัพย์สิน” Ordekian เน้นย้ำ “ในกรณีนี้ มันยังอาจทำให้ผู้รอดชีวิตจากความรุนแรงในครอบครัว และผู้ที่อยู่ในโครงการคุ้มครองพยาน ตกอยู่ในอันตรายได้”

ร่องรอยของ Nexus ชี้ไปยังผู้ให้บริการตรวจสอบยืนยันตัวตน IDScan.net ซึ่งมีฐานอยู่ในนิวออร์ลีนส์ โดยระบุว่าบริษัทประมวลผลการตรวจสอบตัวตนมากกว่า 21 ล้านครั้งต่อเดือน ในมากกว่า 20,000 แห่ง IDScan ยังไม่ได้ยืนยันอย่างเป็นทางการว่าถูกเจาะระบบ แต่บริษัทแจ้งลูกค้าว่ากำลังสืบสวนข้อมูลที่บ่งชี้ว่าอาจมีการเปิดเผยข้อมูล และบริษัท “อาจมีส่วนเกี่ยวข้อง”

Nexus ทำให้แหล่งรวมข้อมูล KYC กลายเป็นเป้าสายตา

เหตุการณ์นี้ยังตั้งคำถามที่ทำให้รู้สึกอึดอัดสำหรับระบบรู้จักลูกค้าของคุณ (KYC): การรวบรวมคลังเอกสารยืนยันตัวตนขนาดมหึมาสร้าง “หม้อน้ำผึ้ง” ที่ล่อใจอาชญากรจนยากจะต้านทานหรือไม่?

Artem Popov หัวหน้าผลิตภัณฑ์ป้องกันการฉ้อโกงที่ Sumsub กล่าวว่า ความเสี่ยงนั้นกว้างกว่าแค่ผู้ให้บริการ KYC “การเก็บข้อมูลส่วนบุคคลไว้ที่ไหนก็ตามมีความเสี่ยง และเป็นจริงกับทุกธุรกิจที่จัดการข้อมูล ไม่ใช่แค่ผู้ให้บริการ KYC” Popov กล่าวกับ Bitcoin.com News เขาบอกว่าผู้คนควรตั้งสมมติฐานโดยปริยายว่ารูปถ่ายเอกสารถูกเปิดเผยแล้วทันทีที่แชร์ออนไลน์ เพราะมันอาจผ่านบริการจำนวนมากที่อยู่นอกเหนือการควบคุมของพวกเขา

Popov ยังเตือนว่าเอกสารที่ถูกขโมยเป็น เพียงชิ้นส่วนหนึ่งของเครื่องจักรฉ้อโกง “การรั่วไหลจำนวนมากยังมาจากวิศวกรรมสังคม ที่มีคนถูกโน้มน้าวให้ยื่นข้อมูลของตัวเองไป ซึ่งนั่นแหละเป็นเหตุผลว่าทำไมรูปถ่ายเอกสารเพียงอย่างเดียวจึงไม่ควรเพียงพอสำหรับการรับลูกค้าเข้าระบบ” Popov กล่าว

ผู้เชี่ยวชาญผลักดันการตรวจสอบตัวตนให้ไปไกลกว่าเอกสาร

ขั้นต่อไป Popov กล่าว คือการเพิ่มชั้นป้องกันอีกชั้น “เช่นเดียวกับที่ทุกวันนี้รหัสผ่านไม่เพียงพออีกต่อไปสำหรับการล็อกอินสิ่งที่อ่อนไหว เอกสารก็ต้องมีปัจจัยที่สองประกบอยู่ เช่น การตรวจจับความมีชีวิต (liveness detection) เพื่อยืนยันว่ามันเป็นของบุคคลที่นำเสนอจริงๆ” การตรวจจับความมีชีวิตโดยทั่วไปจะให้ผู้ใช้พิสูจน์ว่ามี “คนจริง” อยู่ตรงหน้าในเชิงกายภาพ ไม่ใช่แค่มีคนส่งรูปถ่ายหรือเอกสารที่ถูกขโมยมา

การแทนที่บัตรประจำตัวด้วยข้อมูลชีวมิติอย่างเดียวก็ไม่ใช่คำตอบเด็ดขาดเช่นกัน Popov เตือนว่าชีวมิตินำความเสี่ยงถาวรของมันเอง เพราะใบหน้าหรือข้อมูลชีวภาพอื่นๆ ไม่สามารถออกใหม่ได้เมื่อถูกทำให้รั่วไหล ขณะที่ Ordekian กล่าวว่าเหตุการณ์นี้ควรบังคับให้มีการตรวจสอบเชิงลึกยิ่งขึ้นเกี่ยวกับกฎความปลอดภัยของการยืนยันตัวตน และวิธีการบังคับใช้มาตรการคุ้มครองเหล่านั้น

การสืบสวนของ FBI ยังไม่ปิดคดี ตามรายงานของ Krebs on Security โดยมีการยื่นฟ้องแบบกลุ่ม (class action) แล้ว และ IDScan ยังไม่ได้เผยแพร่รายงานนิติวิทยาศาสตร์ฉบับเต็ม ทำให้อุตสาหกรรมยังไม่พ้นความเสี่ยง ขณะที่ผู้สืบสวนทำงานเพื่อระบุให้ชัดเจนว่าเกิดอะไรขึ้น และขอบเขตการเปิดเผยข้อมูลลุกลามไปไกลเพียงใด