שירות בדארקנט מכר 153 מיליון סריקות תעודות זהות מדליפה מתמשכת

שירות חדש לגניבת זהות בדארקנט מכר סריקות דיגיטליות של יותר מ-153 מיליון רישיונות נהיגה של תושבי ארה"ב וקנדה, כך עולה מתחקיר KrebsOnSecurity שאתר Techdirt סיכם ב-3 בספטמבר.

דליפה שהזינה את השירות ללא הרף

השירות, בשם Nexus, טוען שהתמונות מגיעות מפריצה פעילה לחברת אימות זהות גדולה שלקוחותיה כוללים כמה מחברות Fortune 500. בהודעת הפתיחה שלו הוא מסר שהוא מחלץ מחדש מידע באופן רציף זה יותר משנה למסד הנתונים הפרטי שלו. המספרים תומכים בכך: ביום שבו נחשפה הדליפה, זמן קצר לפני שהאתר הורד, גדל האוסף בכמעט 400,000 רשומות בתוך 24 שעות.

לפי Krebs, התמונות מגיעות ככל הנראה מ-IDScan.net, חברת אימות זהות מלואיזיאנה שעובדת עם אלפי דיספנסרים וכן עם Hertz, FedEx ו-Target. שלוחת ה-FBI בניו אורלינס פתחה בבדיקה רשמית של מקור התמונות. קונים יכלו לצפות ברשומות לפני רכישה כשדות רגישים מוסתרים, כולל תמונות לקוחות כשהן קיימות.

לא רק משתמשים רגילים

מסד הנתונים אינו מוגבל לאנשים פרטיים. Krebs מצא בו את רישיון הנהיגה של מזכיר ההגנה המכהן, שהוצע למכירה ב-100 דולר. בינתיים דף מרכז האמון של החברה, שמבטיח טיפול אחראי במידע זהות רגיש ועמידה ברגולציית פרטיות, עוד היה באוויר ימים לאחר פרסום הפריצה.

מדוע אימות זהות בהיקף כזה הוא הבעיה

לארי בולדווין, חוקר אבטחה ב-Cybera, אמר ל-Krebs שהשירות יוצר כמה סיכונים חמורים. רישיונות נהיגה מתקבלים באופן שגרתי כהוכחת זהות בעת פתיחת קווי אשראי חדשים, והסריקות שהודלפו עלולות לחשוף אנשים שאינם רוצים להימצא ושאינם יכולים לשנות את מראם באופן משמעותי — לפחות לא מספיק כדי להטעות השוואת תמונות מבוססת בינה מלאכותית. לקבוצה זו שייכים נמלטים מאלימות במשפחה ואנשים שקיבלו זהות חדשה במסגרת תוכנית ההגנה על עדים הפדרלית.

מייק מסניק מ-Techdirt טוען שהמקרה מלמד שאין סכימת אימות גיל או זהות שאפשר להחשיב בטוחה. הוא מזכיר אזהרות קודמות שלפיהן מסדי נתונים כאלה הם סיכון פרטיות מובנה, ומציין שהדליפה נותרה בלתי מורגשת בתוך החברה יותר משנה.