Ang Paglabag sa Nexus ID ay Naglantad ng Isang Plano para sa Panloloko, Nagbabala ang mga Eksperto

Ang pamilihan sa dark web ay lumitaw noong huling bahagi ng Agosto, na nag-aangking may access sa humigit-kumulang 170 milyong rekord, kabilang ang mahigit 153 milyong lisensya sa pagmamaneho sa U.S. at Canada, 10 milyong iba pang ID, 3 milyong dokumento sa paglalakbay, at hindi bababa sa 579,000 medical card. Inangkin ng mga operator nito na ang impormasyon ay nasipsip sa loob ng mahigit isang taon mula sa isang malaking kumpanya ng pag-verify ng pagkakakilanlan.

Ang Nexus Leak ay Higit na Malayo Kaysa sa Isang Password Dump

Pangit ang paglabag sa password, pero karaniwan ay may takas: Palitan ang password. Iba ang usapin kapag pagkakakilanlan na inisyu ng gobyerno. Binanggit ni Dr. Marilyne Ordekian na ang mga lisensya sa pagmamaneho ay naglalaman ng impormasyong sumusunod sa mga tao sa loob ng maraming taon, kung hindi man magpakailanman, kabilang ang kanilang litrato, address ng tirahan at petsa ng kapanganakan.

“Kapag may mga paglabag na naglalabas ng mga password, maaaring i-reset ng isang tao ang kanilang mga kredensyal at magpatuloy,” sabi ni Ordekian. Sa mga ninakaw na ID ng gobyerno, paliwanag niya, ang impormasyon ay epektibong nakapaloob na sa pagkakakilanlan ng isang tao at hindi basta mairere-reset matapos itong mapunta sa mga kriminal.

Ang lalong nakakaalarma sa Nexus ay ang iniulat na presensya ng mga infrared at ultraviolet scan. Ipinaliwanag ni Ordekian na ang mga scan na ito ay “isang panseguridad na hakbang na ginagamit upang beripikahin ang pagiging tunay,” ibig sabihin ginagamit ang mga ito “upang mapatunayan na tunay ang isang pisikal na dokumento.” Binalaan niya na posibleng hawak ng mga kriminal ang “hindi lang ang iyong ID, kundi pati ang blueprint at ang teknikal na layer na ginagamit upang patunayang tunay ang iyong ID.”

Nagbubukas iyon ng napakaraming problema. “Bawat sistemang nakatali sa ID, maging pagbubukas ng bank account, account sa cryptocurrency exchange, pagrenta ng sasakyan, pag-verify ng wire transfer, atbp (anumang umaasa sa ganitong uri ng ID para sa pag-verify ng pagkakakilanlan) ay isa na ngayong potensyal na attack surface na maaaring pagsamantalahan,” sabi ni Ordekian.

Ang Mga Ninakaw na Tampok ng Seguridad ay Nagpapataas ng Taya para sa Pandaraya

Kapag ang mga rekord na iyon ay umabot sa mga pamilihang kriminal, ang pagnanakaw ng pagkakakilanlan ay simula pa lamang. Ang mga ninakaw na kredensyal ay posibleng ma-recycle para sa panggagaya, mapanlinlang na bank account, money laundering, at iba pang mga pakana. Binalaan ni Ordekian na ang infrared at ultraviolet na materyal ay maaaring magpahirap para sa mga sistema ng beripikasyon na matukoy ang mapanlinlang na paggamit dahil ang mismong mga pinagbabatayang dokumento ay tunay.

May anggulo rin sa pisikal na seguridad. “Nakita natin sa loob ng crypto space, halimbawa, kung paanong ang ilang user at biktima ng mga paglabag sa data ay natutukoy bilang mga investor at tina-target nang pisikal para ibigay ang kanilang mga asset,” diin ni Ordekian. “Sa sitwasyong ito, maaari rin nitong ilagay sa panganib ang mga nakaligtas sa karahasang domestiko at ang mga taong nasa mga programang proteksyon sa saksi.”

Ang bakas ng Nexus ay nagturo patungo sa IDScan.net, isang identity verification provider na nakabase sa New Orleans, na nagsasabing nagpoproseso ito ng mahigit 21 milyong identity check kada buwan sa mahigit 20,000 lokasyon. Hindi pormal na kinumpirma ng IDScan na ito ay na-breach, ngunit sinabi ng kumpanya sa mga customer na iniimbestigahan nito ang impormasyong nagmumungkahing maaaring na-expose ang data at na ang kumpanya ay “maaaring sangkot.”

Inilalagay ng Nexus ang KYC Data Honeypot sa Ilalim ng Mikroskopyo

Itinataas din ng pangyayaring ito ang isang hindi komportableng tanong para sa mga know-your-customer, o KYC, system: Ang pag-ipon ba ng napakalalaking repositoryo ng mga dokumento ng pagkakakilanlan ay lumilikha ng isang honeypot na nagiging hindi mapaglabanan para sa mga kriminal?

Sinabi ni Artem Popov, pinuno ng mga produkto sa pag-iwas sa pandaraya sa Sumsub, na mas malawak ang panganib kaysa sa mga KYC provider lamang. “Ang pag-iimbak ng personal na data saanman ay may dalang panganib, at totoo iyon para sa anumang negosyong humahawak nito, hindi lang sa mga KYC provider,” sinabi ni Popov sa Bitcoin.com News. Aniya, dapat epektibong ipalagay ng mga tao na na-expose na ang litrato ng dokumento kapag naibahagi online dahil maaari itong dumaan sa maraming serbisyo na lampas sa kanilang kontrol.

Nagbabala rin si Popov na ang mga ninakaw na dokumento ay isa lamang bahagi ng makina ng pandaraya. “Marami sa mga leak na ito ay nauuwi rin sa social engineering, kung saan ang isang tao ay basta nakukumbinsi na ibigay ang kanilang data, kaya nga ang litrato ng dokumento lamang ay hindi dapat kailanman sapat para ma-onboard ang sinuman,” sabi ni Popov.

Itinutulak ng Mga Eksperto ang Mga Pagsusuri sa Identidad Lampas sa Dokumento

Ang susunod na hakbang, sabi ni Popov, ay ang pagdaragdag ng isa pang layer. “Sa parehong paraan na hindi na sapat ang password para mag-log in sa anumang sensitibo, ang isang dokumento ay nangangailangan ng pangalawang salik sa likod nito, tulad ng liveness detection, upang kumpirmahing ito ay talagang pagmamay-ari ng taong naglalahad nito.” Karaniwang hinihiling ng liveness detection sa user na patunayan na isang totoong tao ang pisikal na naroroon sa halip na may taong nagsusumite lamang ng ninakaw na litrato o dokumento.

Ang simpleng pagpapalit ng mga ID ng biometric data ay hindi rin pilak na bala. Binalaan ni Popov na ang biometrics ay nagdadala ng sarili nitong permanenteng panganib dahil ang mukha o iba pang biyolohikal na tagapagkilala ay hindi na muling maiisyu kapag nakompromiso. Samantala, sinabi ni Ordekian na dapat pilitin ng pangyayaring ito ang mas malalim na pagsusuri sa mga tuntunin sa seguridad ng pag-verify ng pagkakakilanlan at kung paano ipinapatupad ang mga proteksyong iyon.

Nananatiling bukas ang imbestigasyon ng FBI, ayon sa Krebs on Security, naisampa na ang mga iminungkahing class action, at hindi pa naglalathala ang IDScan ng isang kumpletong forensic account, kaya’t hindi pa ligtas ang industriya habang nagsisikap ang mga imbestigador na alamin kung ano mismo ang nangyari at hanggang saan umabot ang exposure.