Un Anno Di Accesso Silenzioso, Poi Una Conferma
IDScan, un servizio di verifica dell'identità con sede in Louisiana usato da locali di intrattenimento e dispensari di cannabis per controllare i documenti dei clienti, ha confermato il 10 settembre che gli hacker avevano rubato dati identificativi dal suo archivio cloud. Il giornalista di sicurezza Brian Krebs aveva già segnalato l'incidente di base il 2 settembre, dopo che una piattaforma del dark web aveva iniziato a offrire accesso interrogabile a un database chiamato dai venditori Nexus, oltre 11,5 milioni di pagine di risultati a circa quindici record per pagina. Gli aggressori hanno sostenuto di aver continuamente sottratto nuovi dati da IDScan per oltre un anno prima che comparisse l'annuncio, il che significa che l'esposizione non è stato un singolo incidente ma una lunga operazione di raccolta non rilevata.
L'ufficio dell'FBI di New Orleans ha aperto un'indagine formale il 1 settembre, e il Pentagono ha confermato di essere a conoscenza della presunta violazione dopo che il record dello stesso segretario alla Difesa statunitense Pete Hegseth è comparso tra i file compromessi, verificato in modo indipendente da un ricercatore di sicurezza. La dichiarazione pubblica di IDScan ha offerto poco più di un riconoscimento, dicendo a un giornalista di non poter ancora condividere ulteriori dettagli mentre la propria indagine proseguiva. L'accesso completo al database trapelato avrebbe richiesto un pagamento, la struttura di una vendita estorsiva piuttosto che di una semplice fuga di dati.
Cosa È Stato Realmente Sottratto
I dati rubati si suddividono per tipo di documento, e la scala supera nettamente qualsiasi violazione di documenti d'identità comparabile segnalata quest'anno. Le patenti costituiscono la grande maggioranza, ma la raccolta si estende a diverse altre categorie di documenti su cui i clienti di IDScan fanno affidamento per i controlli di età e identità.
| Tipo di documento | Record esposti |
|---|---|
| Patenti statunitensi e canadesi | 153 milioni o più |
| Altre carte d'identità | 10 milioni o più |
| Passaporti e documenti di viaggio | 3 milioni o più |
| Tessere mediche e di dispensari | 579.000 o più |
Il solo Ontario rappresentava circa 473.000 delle patenti canadesi nell'insieme, un promemoria del fatto che la violazione di un fornitore con sede negli Stati Uniti non rispetta il confine attraverso cui operano i suoi clienti. Ogni record contiene un nome completo e un numero di documento ufficiale, e nella maggior parte dei casi la pagina scansionata con la foto stessa, esattamente la combinazione di cui i ladri di identità hanno bisogno per aprire conti o superare controlli automatizzati altrove.
Il Vuoto Che Il Vostro Contratto Con Il Fornitore Dovrebbe Colmare
Un'azienda dell'UE o del Regno Unito che esternalizza la verifica dell'età o dell'identità, sempre più un obbligo legale che una comodità secondo norme come le disposizioni sulla verifica dell'età del Digital Services Act, consegna a un fornitore di un paese terzo una copia dei documenti ufficiali dei propri clienti e poi ha quasi nessuna visibilità su quanto a lungo quel fornitore tenga nascosta una violazione prima di dire qualcosa. Il GDPR concede a un titolare del trattamento 72 ore dal momento in cui viene a conoscenza di una violazione per notificarla alla propria autorità di controllo, e NIS2 concede a un'entità essenziale o importante appena 24 ore per un allarme precoce. Nessuna di queste scadenze raggiunge direttamente IDScan, perchè il conto alla rovescia parte solo quando il titolare del trattamento lato UE ne viene a conoscenza, e un responsabile del trattamento statunitense non ha un obbligo legale equivalente di avvisare rapidamente i propri clienti, o di avvisarli affatto, al di là di quanto specificato dall'accordo di trattamento dei dati sottostante.
Quel vuoto è la parte concreta di questa storia. Un'azienda che si affida a un fornitore di verifica dell'identità dovrebbe già sapere esattamente quale scadenza di notifica il proprio accordo di trattamento dei dati stabilisce per iscritto per quel fornitore, invece di presumere che un'azienda statunitense comunicherà la notizia di propria iniziativa nel momento in cui qualcosa va storto. La tempistica di IDScan stessa, un presunto anno di accesso silenzioso seguito da nove giorni tra l'annuncio pubblico sul dark web e la conferma dell'azienda, è l'argomento per trattare quella clausola come portante e non come una formalità, e per chiedere ora, non dopo il prossimo titolo, esattamente con quale rapidità un fornitore è contrattualmente tenuto ad avvisare.
Servola Journal
Lo facciamo per tutti quelli che cercano di tenere il passo con quello che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Servola Journal esiste perché quello che impariamo appartenga a tutti loro.
Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire quello che sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagarlo.
Se oggi ti ha dato qualcosa, dicci di continuare. Seguici, lascia un like o scrivi un commento positivo. Li leggiamo tutti, e sono quello che ci fa andare avanti.
Da leggere ora: Una violazione che il registro DORA non spiega | Violazione CEVA colpisce i clienti Steam in Europa
