Jouw Rijbewijsfoto Lag Een Jaar Op Hun Server

Een Jaar Stille Toegang, Dan Een Bevestiging

IDScan, een identiteitsverificatiedienst gevestigd in Louisiana die entertainmentlocaties en cannabis-dispensaries gebruiken om klantdocumenten te controleren, bevestigde op 10 september dat hackers identiteitsgegevens uit hun cloudopslag hadden gestolen. Beveiligingsjournalist Brian Krebs had het onderliggende incident al op 2 september gemeld, nadat een dark-webplatform doorzoekbare toegang begon aan te bieden tot een database die de verkopers Nexus noemden, meer dan 11,5 miljoen resultaatpagina's met ongeveer vijftien records per pagina. De aanvallers beweerden dat ze meer dan een jaar lang doorlopend nieuwe gegevens bij IDScan buitmaakten voordat de aanbieding verscheen, wat betekent dat de blootstelling geen op zichzelf staand incident was maar een lange, onopgemerkte verzameloperatie.

Het FBI-kantoor in New Orleans opende op 1 september een formeel onderzoek, en het Pentagon bevestigde op de hoogte te zijn van de vermeende inbreuk nadat het eigen dossier van de Amerikaanse minister van Defensie Pete Hegseth tussen de gecompromitteerde bestanden opdook, onafhankelijk bevestigd door een beveiligingsonderzoeker. De openbare verklaring van IDScan bood nauwelijks meer dan een erkenning, het bedrijf liet een journalist weten nog geen aanvullende details te kunnen delen terwijl het eigen onderzoek doorliep. Volledige toegang tot de gelekte database vereiste naar verluidt betaling, de structuur van een afpersingsverkoop in plaats van een eenvoudige lek.

Wat Er Werkelijk Is Gestolen

De gestolen records verdelen zich naar documenttype, en de omvang overtreft ruim elke vergelijkbare identiteitsdocumentinbreuk die dit jaar is gemeld. Rijbewijzen vormen de overgrote meerderheid, maar de verzameling strekt zich uit tot verschillende andere documentcategorieën waar IDScans klanten op vertrouwen voor leeftijds- en identiteitscontroles.

Ontario alleen al was goed voor ongeveer 473.000 van de Canadese rijbewijzen in de set, een herinnering dat de inbreuk bij een in de VS gevestigde leverancier geen rekening houdt met de grens waarover zijn klanten opereren. Elk record bevat een volledige naam en een officieel documentnummer, en in de meeste gevallen de gescande fotopagina zelf, precies de combinatie die identiteitsdieven nodig hebben om elders rekeningen te openen of geautomatiseerde controles te doorstaan.

Het Gat Dat Jullie Eigen Leverancierscontract Moet Dichten

Een bedrijf in de EU of het VK dat leeftijds- of identiteitscontroles uitbesteedt, steeds meer een wettelijke verplichting dan een gemak onder regels zoals de leeftijdsverificatiebepalingen van de Digital Services Act, geeft een leverancier in een derde land een kopie van de officiële documenten van zijn klanten en heeft daarna bijna geen zicht op hoe lang die leverancier op een inbreuk blijft zitten voordat hij iets zegt. De AVG geeft een verwerkingsverantwoordelijke 72 uur vanaf het moment dat hij zich bewust wordt van een inbreuk om zijn toezichthoudende autoriteit te informeren, en NIS2 geeft een essentiële of belangrijke entiteit slechts 24 uur voor een vroegtijdige waarschuwing. Geen van deze termijnen bereikt IDScan rechtstreeks, omdat de klok pas begint te lopen zodra de verwerkingsverantwoordelijke aan de EU-kant er zelf weet van heeft, en een Amerikaanse verwerker heeft geen gelijkwaardige wettelijke plicht om zijn klanten snel te informeren, of ooit, buiten wat de onderliggende verwerkersovereenkomst voorschrijft.

Dat gat is het bruikbare deel van dit verhaal. Een bedrijf dat vertrouwt op een leverancier van identiteitsverificatie zou al precies moeten weten welke meldingstermijn zijn eigen verwerkersovereenkomst schriftelijk vastlegt voor die leverancier, in plaats van aan te nemen dat een Amerikaans bedrijf het nieuws uit zichzelf zal delen zodra er iets misgaat. IDScans eigen tijdlijn, een beweerd jaar stille toegang gevolgd door negen dagen tussen de openbare dark-webaanbieding en de bevestiging van het bedrijf, is het argument om die clausule als dragend te behandelen in plaats van als formaliteit, en om nu te vragen, niet na de volgende krantenkop, precies hoe snel een leverancier contractueel verplicht is om te melden.

Servola Journal

Wij doen dit voor iedereen die probeert bij te houden wat technologie met ons leven doet. De mensen die het bouwen, en de mensen die het overkomt. Het Servola Journal bestaat zodat wat wij leren van hen allemaal is.

Niemand betaalt ons hiervoor. Geen advertenties, geen betaalmuur, gratis voor iedereen. Wij geloven gewoon dat begrijpen wat er met ons allemaal gebeurt niet mag afhangen van wie het zich kan veroorloven ervoor te betalen.

Als dit je vandaag iets heeft gebracht, laat het ons weten en zeg dat we door moeten gaan. Volg ons, laat een like achter of schrijf een positieve reactie. Wij lezen ze allemaal, en dat is wat ons op de been houdt.

Lees hierna: Een datalek dat uw DORA-register niet verklaart  |  CEVA-lek treft Steam-kopers in heel Europa