Uzmanlar, Nexus Kimlik İhlalinin Dolandırıcılık İçin Bir Şablon Ortaya Çıkardığını Uyarıyor

Ağustos sonunda ortaya çıkan bu karanlık web pazarı, 153 milyondan fazla ABD ve Kanada ehliyeti, 10 milyon diğer kimlik, 3 milyon seyahat belgesi ve en az 579.000 sağlık kartı dahil olmak üzere yaklaşık 170 milyon kayda erişim sağladığını iddia etti. Pazarın işletmecileri, bu bilgilerin büyük bir kimlik doğrulama şirketinden bir yıldan fazla bir süredir sızdırıldığını iddia etti.

Nexus Sızıntısı, Bir Şifre Sızıntısının Ötesinde

Bir şifre ihlali kötü bir durumdur, ancak genellikle bir çıkış yolu vardır: Şifreyi değiştirmek. Resmi kimlik belgeleri ise bambaşka bir konudur. Dr. Marilyne Ordekian, sürücü belgelerinin fotoğraf, ev adresi ve doğum tarihi dahil olmak üzere, sonsuza kadar olmasa da yıllarca kişileri takip eden bilgiler içerdiğini belirtti.

“Şifre sızıntıları durumunda, kişi kimlik bilgilerini sıfırlayıp yoluna devam edebilir,” dedi Ordekian. Çalınan resmi kimliklerde ise, bilgilerin kişinin kimliğine fiilen kazınmış olduğunu ve suçluların eline geçtikten sonra basitçe sıfırlanamayacağını açıkladı.

Nexus’u özellikle endişe verici kılan şey, kızılötesi ve ultraviyole taramaların varlığının bildirilmiş olmasıdır. Ordekian, bu taramaların “gerçekliği doğrulamak için kullanılan bir güvenlik önlemi” olduğunu, yani “fiziksel bir belgenin gerçekliğini teyit etmek için” kullanıldığını açıkladı. Suçluların potansiyel olarak “sadece kimlik belgenize değil, aynı zamanda kimliğinizin gerçek olduğunu kanıtlamak için kullanılan taslak ve teknik altyapıya da sahip” olabileceği konusunda uyarıda bulundu.

Bu durum çok büyük sorunlara yol açar. Ordekian, “Kimlik gerektiren her sistem – ister banka hesabı açmak, ister kripto para borsası hesabı açmak, ister araba kiralamak, ister havale işlemini doğrulamak olsun (kimlik doğrulaması için bu tür bir kimliğe dayanan her şey) – artık istismar edilebilecek potansiyel bir saldırı yüzeyi haline gelmiştir,” dedi.

Çalınan Güvenlik Özellikleri Dolandırıcılık Riskini Artırıyor

Bu kayıtlar suç piyasalarına ulaştığında, kimlik hırsızlığı sadece bir başlangıç noktasıdır. Çalınan kimlik bilgileri, kimlik sahtekarlığı, dolandırıcılık amaçlı banka hesapları, kara para aklama ve diğer dolandırıcılık planları için potansiyel olarak yeniden kullanılabilir. Ordekian, kızılötesi ve ultraviyole malzemelerin, altta yatan belgelerin kendilerinin gerçek olması nedeniyle, doğrulama sistemlerinin sahtecilik kullanımını tespit etmesini zorlaştırabileceği konusunda uyarıda bulundu.

Fiziksel güvenlik açısından da bir boyut söz konusu. Ordekian, “Örneğin kripto para alanında, bazı kullanıcıların ve veri ihlallerinin mağdurlarının yatırımcı olarak tespit edilip, varlıklarını teslim etmeleri için fiziksel olarak hedef alındığını görüyoruz,” diye vurguladı. “Bu durumda, aile içi şiddet mağdurları ve tanık koruma programlarındaki kişiler de tehlikeye girebilir.”

Nexus izleri, New Orleans merkezli kimlik doğrulama sağlayıcısı IDScan.net’e işaret ediyor. Şirket, 20.000’den fazla lokasyonda ayda 21 milyondan fazla kimlik kontrolü gerçekleştirdiğini belirtiyor. IDScan, bir güvenlik ihlali yaşandığını resmi olarak doğrulamamıştır, ancak şirket müşterilerine, verilerin sızmış olabileceğine dair bilgileri araştırdığını ve şirketin “bu olayla ilgisi olabileceğini” bildirmiştir.

Nexus, KYC Verileri Bal Kavanozunu Mercek Altına Alıyor

Bu olay, “müşterini tanı” (KYC) sistemleri için de rahatsız edici bir soruyu gündeme getiriyor: Kimlik belgelerinden oluşan devasa veri havuzlarının toplanması, suçlular için karşı konulmaz bir tuzak oluşturuyor mu?

Sumsub’un dolandırıcılık önleme ürünleri başkanı Artem Popov, tehlikenin sadece KYC sağlayıcılarıyla sınırlı olmadığını söyledi. Popov, Bitcoin.com News’e verdiği demeçte, “Kişisel verilerin herhangi bir yerde depolanması risk taşır ve bu durum sadece KYC sağlayıcıları için değil, bu verileri işleyen her işletme için geçerlidir” dedi. Popov, insanların çevrimiçi olarak paylaşıldıktan sonra bir belge fotoğrafının ifşa olduğunu varsaymaları gerektiğini, çünkü bu fotoğrafın kendi kontrolleri dışındaki sayısız hizmetten geçebileceğini belirtti.

Popov ayrıca, çalınan belgelerin dolandırıcılık mekanizmasının sadece bir parçası olduğu konusunda uyarıda bulundu. Popov, “Bu sızıntıların çoğu sosyal mühendisliğe dayanıyor; yani birinin verilerini teslim etmesi için ikna edilmesi gibi durumlar söz konusu. İşte bu yüzden, bir belge fotoğrafı tek başına kimseyi sisteme kabul etmek için asla yeterli olmamalıdır,” dedi.

Uzmanlar, Kimlik Kontrollerini Belgenin Ötesine Taşıyor

Popov, bir sonraki adımın bir güvenlik katmanı daha eklemek olduğunu belirtti. “Artık hassas sistemlere giriş yapmak için bir şifre tek başına yeterli olmadığı gibi, bir belgenin de, onu sunan kişiye ait olduğunu doğrulamak için canlılık algılama gibi ikinci bir güvenlik faktörüne ihtiyacı vardır.” Canlılık algılama, genellikle kullanıcıdan, çalınmış bir fotoğraf veya belgeyi gönderen bir kişi değil, gerçek bir kişinin fiziksel olarak mevcut olduğunu kanıtlamasını ister.

Kimlikleri biyometrik verilerle değiştirmek de tek başına bir çözüm değildir. Popov, biyometrik verilerin kendi kalıcı risklerini beraberinde getirdiğini, çünkü bir yüz veya diğer biyolojik tanımlayıcıların güvenliği ihlal edildiğinde yeniden düzenlenemeyeceğini belirtti. Öte yandan Ordekian, bu olayın kimlik doğrulama güvenlik kurallarının ve bu koruma önlemlerinin nasıl uygulandığının daha derinlemesine incelenmesini gerektirdiğini söyledi.

Krebs on Security’ye göre FBI soruşturması hâlâ devam ediyor, önerilen toplu davalar çoktan açılmış durumda ve IDScan henüz tam bir adli rapor yayınlamadı; bu da, araştırmacılar tam olarak ne olduğunu ve sızıntının ne kadar geniş bir alana yayıldığını belirlemeye çalışırken sektörün henüz tehlikeyi atlatamadığını gösteriyor.