IDScan, compania americană care oferă servicii de verificare a identității prin scanarea documentelor oficiale, a confirmat oficial o breșă de securitate masivă: hackerii au reușit să pună mâna pe date asociate cu peste 150 de milioane de permise de conducere din Statele Unite. Vestea a fost făcută publică recent și a stârnit un val de îngrijorare printre specialiștii în securitate cibernetică, mai ales din cauza volumului enorm de informații personale expuse.

Pentru cine nu știe, IDScan lucrează cu tot felul de industrii, retail, baruri, platforme online, oferindu-le tehnologia necesară pentru a verifica rapid vârsta sau identitatea unui client printr-un simplu scan al permisului. Practic, orice magazin sau bar care îți cere să scanezi actul la intrare probabil trimite, direct sau indirect, datele tale către infrastructura unor astfel de furnizori. Conform TechCrunch, breșa de la IDScan depășește cu mult ce văzusem până acum în acest domeniu, plasând incidentul printre cele mai grave cazuri de expunere a documentelor de identitate din ultimii ani, chiar peste breșa Equifax din 2017 ca număr de înregistrări compromise.

Descoperirea aparține cercetătorului în securitate Brian Krebs, care a identificat datele scoase la vânzare pe Nexus, un marketplace găzduit pe forumul de criminalitate cibernetică Exploit. Investigația arată că exfiltrarea datelor s-a produs pe parcursul a aproximativ un an înainte ca breșa să fie efectiv descoperită, timp în care hackerii au avut acces constant la informațiile stocate de companie. FBI a deschis o anchetă, coordonată de biroul din New Orleans, pentru a stabili amploarea exactă a incidentului și modul în care a fost posibilă exfiltrarea unui volum atât de mare de date pe o perioadă atât de lungă.

Printre cazurile care au atras atenția se numără și descoperirea că permisul de conducere al secretarului Apărării, Pete Hegseth, alături de cele ale unor agenți FBI, se regăsesc printre înregistrările compromise, ceea ce ridică semne de întrebare suplimentare privind riscurile de securitate națională asociate breșei. Printre clienții afectați de incident se numără companii mari precum Hertz, FedEx și Target, ale căror sisteme de verificare a identității se bazau pe infrastructura IDScan. Nu întâmplător, primele procese colective au fost deja depuse împotriva companiei, consumatorii afectați cerând despăgubiri pentru expunerea datelor lor personale.

Problema e că aceste date nu sunt deloc banale. Un permis de conducere conține adresă, numere unice de identificare, fotografie, semnătură și uneori chiar coduri de bare citite automat de diverse sisteme. Odată ajunse pe mâini greșite, informațiile astea devin materie primă perfectă pentru fraude de identitate, deschideri de conturi bancare false sau chiar falsificarea fizică a unor documente.

Ce face acest caz și mai neplăcut este natura permanentă a datelor compromise. Spre deosebire de o parolă, pe care o poți schimba în două minute, un permis de conducere rămâne valid ani buni. Practic, riscul nu dispare peste noapte, ci persistă mult timp după ce breșa a fost descoperită și "reparată". Asta plasează incidentul IDScan în aceeași categorie cu alte scandaluri majore de securitate, în care companii specializate în verificarea identității au devenit ținte exact pentru că adună cantități uriașe de date sensibile într-un singur loc.

Dincolo de impactul imediat, cazul readuce în discuție o problemă mai veche și mai puțin discutată: tot mai multe servicii digitale îți cer să scanezi un act oficial pentru verificare, fără să existe vreo transparență reală despre cum sunt stocate, criptate sau șterse ulterior aceste date. Majoritatea oamenilor oferă informațiile astea fără să știe prin câte sisteme terțe trec sau cât timp rămân accesibile undeva pe un server. Breșa de la IDScan arată clar cât de fragilă poate fi încrederea asta atunci când infrastructura unei singure companii cedează.

Pentru cei aproximativ 150 de milioane de americani ale căror date ar putea fi implicate, urmează o perioadă tensionată: monitorizare atentă a conturilor bancare, vigilență sporită la eventuale tentative de fraudă și, probabil, notificări oficiale fie din partea companiei, fie din partea autorităților. IDScan a anunțat deja, potrivit propriei notificări, că oferă gratuit celor afectați servicii de monitorizare a creditului și protecție a identității. Rămâne totuși de văzut dacă ancheta FBI și procesele colective deja depuse vor grăbi apariția unor reguli mai stricte pentru companiile care gestionează verificarea identității la scară națională.

Sursa: TechCrunch