153 млн водительских прав и другие ID продают на теневом сайте Nexus

Платформа Nexus продаёт 153 миллиона сканов водительских удостоверений

Новая платформа в теневом интернете под названием Nexus заявила о продаже 153 миллионов сканов водительских удостоверений. Также на платформе доступны миллионы других документов, удостоверяющих личность, и медицинских карт. По сообщениям, в утечку попали более 153 миллионов водительских удостоверений, 10 миллионов удостоверений личности, 3 миллиона проездных документов и 579 тысяч медицинских карт. Среди последних — карты клиентов диспансеров, продающих марихуану.

Атака использует данные для верификации личности

Утечка данных, о которой сообщило издание KrebsOnSecurity, включает не только базовые фотографии удостоверений. Найденные записи содержат изображения лицевой и оборотной сторон документов, а также инфракрасные и ультрафиолетовые сканы. В данных присутствуют временные метки, которые, по-видимому, соответствуют периодам поездок или аренды автомобилей владельцами документов. Это делает украденные данные особенно ценными для мошенников, поскольку водительское удостоверение содержит больше информации, чем пароль. В отличие от пароля, который можно сбросить, данные вроде лица, даты рождения, адреса и номера удостоверения заменить сложнее, особенно при наличии высококачественных изображений.

Уязвимость касается пользователей сервисов верификации личности

Проблема верификации возраста стала частым поводом для запроса у пользователей загрузить удостоверение личности, сделать селфи или предоставить обе услуги стороннему поставщику услуг верификации. Такие системы могут превратить запрос на доступ к сайту в передачу личного документа компании, о которой пользователь мог никогда не слышать. Это создаёт непропорциональный риск. После загрузки ID сервис или его поставщик могут связать посещение сайта с личностью пользователя. В случае взлома поставщика последствия могут выйти за рамки нежелательного маркетинга или утечки адреса электронной почты. Утечка данных через Nexus иллюстрирует более широкую проблему: документы, удостоверяющие личность, собираются во множестве мест, которые пользователи могут не связывать между собой. Каждая отдельная коллекция данных может представляться рутинной, но вместе они создают расширяющуюся экосистему организаций, подрядчиков, программных платформ, облачных сервисов и политик конфиденциальности.

Потребителям следует ограничить предоставление личных данных

При необходимости проверки личности для использования онлайн-сервиса следует задать вопрос: зачем этой компании нужен мой документ, удостоверяющий личность, и что с ним произойдёт после этого? Масштаб данных, предположительно предлагаемых через Nexus, показывает важность ответа. Потребители не всегда могут отказаться от проверки личности, особенно если это требуется по закону или необходимо для регулируемого сервиса. Однако можно сократить ненужное раскрытие данных. Следует спрашивать, хранятся ли изображения удостоверений и как долго. Необходимо проверять, использует ли компания стороннего поставщика услуг верификации личности. Предпочтение следует отдавать сервисам, предлагающим проверку возраста с сохранением конфиденциальности, а не требующим полной загрузки удостоверения. Следует избегать предоставления документов, удостоверяющих личность, сайтам, которым вы не доверяете или которые не собирались использовать. Не следует отправлять копии удостоверений по электронной почте, если нет более безопасной альтернативы и вы не проверили получателя. Следует проявлять бдительность в отношении фишинга, мошенничества при восстановлении доступа к учётной записи и мошеннических заявок на кредит, если вы считаете, что ваши данные могли быть скомпрометированы. Рассмотрите возможность заморозки кредитной истории там, где это доступно.

Источник: Malwarebytes Labs