Dark web-ზე 153 მილიონი სკანირებული პირადობა გაიყიდა — მონაცემები ერთ წელზე მეტხანს ჟონავდა

dark web-ზე ახალი პირადობის ქურდობის სერვისი ყიდის აშშ-სა და კანადის მოქალაქეების 153 მილიონზე მეტი მართვის მოწმობის ციფრულ სკანირებულ ასლს — ამის შესახებ KrebsOnSecurity-ის გამოძიებას იმავე დღეს, 3 სექტემბერს, Techdirt აშუქებს.

გაჟონვა, რომელიც სერვისს მუდმივად კვებავდა

სერვისი სახელად Nexus აცხადებს, რომ სურათები მოდის „მსხვილი ვერიფიკაციის კომპანიის“ მიმდინარე გატეხვიდან, რომლის კლიენტებს შორის Fortune 500-ის რამდენიმე კომპანიაა. შესავალ პოსტში სერვისმა განაცხადა, რომ ერთ წელზე მეტხანს განუწყვეტლივ ახდენდა ახალი მონაცემების ექსფილტრაციას საკუთარ ბაზაში. ციფრები ამას ადასტურებს: გაჟონვის გამჟღავნების დღეს, საიტის დახურვამდე ცოტა ხნით ადრე, ბაზა 24 საათში თითქმის 400 000 ჩანაწერით გაიზარდა.

Krebs-ის ცნობით, სურათები, სავარაუდოდ, IDScan.net-იდან მოდის — ლუიზიანაში დაფუძნებული ვერიფიკაციის კომპანია, რომელიც ათასობით დისპანსერთან, ისევე როგორც Hertz-თან, FedEx-თან და Target-თან თანამშრომლობს. FBI-ის ახალი ორლეანის საველე ოფისმა სურათების წყაროს გამოძიება დაიწყო. მყიდველებს ჩანაწერების გადახედვა შეძლებისდაგვარად მგრძნობიარე ველების დაფარვით, მომხმარებლის ფოტოს ჩათვლით, შეძლება.

არა მხოლოდ რიგითი მომხმარებლები

ბაზა მხოლოდ კერძო პირებით არ შემოიფარგლება. Krebs-მა მასში აშშ-ის მოქმედი თავდაცვის მდივნის მართვის მოწმობა იპოვა — ის 100 დოლარად იყიდება. კომპანიის „ნდობის ცენტრის“ გვერდი, რომელიც მგრძნობიარე პირადობის მონაცემების პასუხისმგებლიან დამუშავებასა და კანონმდებლობის დაცვას გვპირდება, გაჟონვის გამჟღავნებიდან დღეების შემდეგაც ხელმისაწვდომი იყო.

რატომ არის პრობლემა ვერიფიკაცია მასშტაბზე

Cybera-ს უსაფრთხოების მკვლევარის, ლარი ბოლდუინის, თქმით, სერვისი რამდენიმე სერიოზულ რისკს ქმნის. მართვის მოწმობა ჩვეულებრივ მიიღება როგორც პირადობის დამადასტურებელი დოკუმენტი ახალი საკრედიტო ხაზის გახსნისას, ხოლო გაჟონილი სკანირებული ასლები შეიძლება საშიში იყოს მათთვის, ვისაც არ სურს მოძებნა და ვისაც გარეგნობის შეცვლა რეალურად არ შეუძლია — ყოველ შემთხვევაში, დღევანდელი AI-ზე დაფუძნებული სურათების შედარების ალგორითმების მოსატყუებლად. ამ კატეგორიაში შედიან ოჯახური ძალადობისგან გაქცეულები და ისინი, ვისაც ფედერალური მოწმეთა დაცვის პროგრამის ფარგლებში ახალი პირადობა მიანიჭეს.

Techdirt-ის მაიკ მესნიკი ამტკიცებს, რომ ეს შემთხვევა აჩვენებს: ასაკის ან პირადობის ვერიფიკაციის არცერთი სქემა არ შეიძლება უსაფრთხოდ ჩაითვალოს. ის იხსენებს ადრინდელ გაფრთხილებებს, რომ ასეთი ბაზები პრივატულობისთვის მოლოდინში მყოფი რისკია, და აღნიშნავს, რომ გაჟონვა კომპანიის შიგნით ერთ წელზე მეტხანს შეუმჩნეველი დარჩა.