Suzu Labs: Новое лицо получить невозможно

ФБР расследует потенциально масштабную утечку данных, которая могла затронуть до 170 млн жителей Северной Америки. Инцидент стал достоянием гласности благодаря работе журналиста Брайана Кребса. По его данным, сервис Nexus предоставлял доступ к цифровым сканам документов пользователям киберпреступного форума Exploit.

Речь идёт о миллионах водительских прав (в основном американских и канадских), удостоверений личности, проездных абонементах, медицинских карт и так далее. Сообщается, что утечка произошла в результате целенаправленного взлома в «крупной компании, специализирующейся на проверке личности». Хотя Nexus вскоре после огласки случившегося перестал работать, Кребсу удалось отследить активность идентифицированных жертв, чтобы связать данные с компанией IDScan.net в Новом Орлеане. В настоящее время сама организация проводит расследование по данному кейсу.

Как заявил основатель и гендиректор Breach Lock Симант Сехгал, инцидент может иметь далеко идущие последствия. В водительских правах содержатся дата рождения владельца, адрес, физические характеристики и номер удостоверения личности, выданного госорганом. Этого достаточно, чтобы пройти проверку личности, которую большинство финансовых и иных учреждений считают надёжной.

«Более сложная проблема заключается в том, что, в отличие от скомпрометированного пароля, ни одно из этих полей нельзя изменить, поэтому каждый человек в этом наборе данных будет нести эту уязвимость всю жизнь, — пояснил эксперт. — Хорошо, что к этому относятся серьёзно, но, возможно, пришло время повысить стандарты для проверок личности».

По мнению Дениса Кальдероне, технического директора Suzu Labs, предприятиям, сотрудничающие с поставщиками услуг по верификации пользователей, необходимо более тщательно относиться к тому, как долго хранятся результаты сканирования после проверки, существуют ли договорные обязательства по минимизации собираемых данных и могут ли они проводить аудит этих партнёров.

«Сейчас нет инфраструктуры, аналогичной блокировке кредитной истории, которая позволяла бы кому-либо отметить скомпрометированный номер водительских прав, — отметил специалист. — Каждая организация, собирающая информацию по удостоверениям личности, должна им обеспечивать как минимум такой же уровень безопасности, как и в случае с данными платёжных карт, а лучше — более высокий. Новый номер кредитной карты можно получить за 24 часа. Новое лицо получить невозможно».

Усам Оздемиров