Twoje Zdjęcie Z Prawa Jazdy Leżało Rok Na Ich Serwerze

Rok Cichego Dostępu, Potem Potwierdzenie

IDScan, usługa weryfikacji tożsamości z siedzibą w Luizjanie, z której korzystają lokale rozrywkowe i punkty sprzedaży marihuany do sprawdzania dokumentów klientów, potwierdziła 10 września, że hakerzy ukradli dane tożsamości z jej magazynu w chmurze. Dziennikarz zajmujący się bezpieczeństwem Brian Krebs opisał ten incydent już 2 września, po tym jak platforma działająca w dark webie zaczęła oferować przeszukiwalny dostęp do bazy danych, którą sprzedawcy nazwali Nexus - ponad 11,5 miliona stron wyników przy około piętnastu rekordach na stronę. Napastnicy twierdzili, że nieprzerwanie wykradali nowe dane z IDScan przez ponad rok, zanim pojawiła się ta oferta, co oznacza, że nie był to pojedynczy incydent, lecz długa, niewykryta operacja zbierania danych.

Biuro FBI w Nowym Orleanie wszczęło formalne śledztwo 1 września, a Pentagon potwierdził, że wie o podejrzewanym naruszeniu, odkąd wśród skompromitowanych plików odnaleziono akta samego amerykańskiego sekretarza obrony Pete'a Hegsetha, co niezależnie zweryfikował badacz bezpieczeństwa. Publiczne oświadczenie IDScan niewiele wykraczało poza samo potwierdzenie faktu - firma powiedziała jednemu z dziennikarzy, że nie może jeszcze udostępnić dodatkowych szczegółów, bo jej własne śledztwo wciąż trwa. Pełny dostęp do wyciekłej bazy danych podobno wymagał zapłaty, co bardziej przypomina strukturę sprzedaży wymuszeniowej niż zwykły wyciek danych.

Co Faktycznie Skradziono

Skradzione rekordy dzielą się według typu dokumentu, a skala wyraźnie przewyższa każde porównywalne naruszenie dokumentów tożsamości zgłaszane w tym roku. Prawa jazdy stanowią zdecydowaną większość, ale kolekcja obejmuje też kilka innych kategorii dokumentów, na których klienci IDScan opierają się przy weryfikacji wieku i tożsamości.

Sama prowincja Ontario odpowiadała za około 473 tysiące kanadyjskich praw jazdy w tym zbiorze - przypomnienie, że naruszenie u dostawcy z siedzibą w USA nie zatrzymuje się na granicy, po obu stronach której działają jego klienci. Każdy rekord zawiera pełne imię i nazwisko oraz numer oficjalnego dokumentu, a w większości przypadków także zeskanowaną stronę ze zdjęciem - dokładnie taki zestaw danych, jakiego złodzieje tożsamości potrzebują, by otwierać konta lub przechodzić zautomatyzowane weryfikacje gdzie indziej.

Luka, Którą Powinna Zamknąć Wasza Własna Umowa Z Dostawcą

Firma z UE lub Wielkiej Brytanii, która zleca na zewnątrz weryfikację wieku lub tożsamości - coraz częściej obowiązek prawny, a nie tylko udogodnienie, na mocy przepisów takich jak zasady weryfikacji wieku zawarte w Digital Services Act - przekazuje dostawcy z kraju trzeciego kopię oficjalnych dokumentów swoich klientów, a potem prawie nie ma wglądu w to, jak długo ten dostawca siedzi na naruszeniu, zanim cokolwiek powie. RODO daje administratorowi danych 72 godziny od chwili powzięcia wiedzy o naruszeniu na zgłoszenie go organowi nadzorczemu, a NIS2 daje podmiotowi kluczowemu lub ważnemu zaledwie 24 godziny na wczesne ostrzeżenie. Żaden z tych terminów nie dotyczy IDScan bezpośrednio, ponieważ zegar zaczyna biec dopiero, gdy administrator po stronie UE sam powziął wiedzę, a amerykański podmiot przetwarzający nie ma równoważnego ustawowego obowiązku szybkiego poinformowania swoich klientów - ani w ogóle poinformowania ich - poza tym, co przewiduje leżąca u podstaw umowa powierzenia przetwarzania danych.

Ta luka to najbardziej praktyczna część tej historii. Firma polegająca na dostawcy usług weryfikacji tożsamości powinna już dokładnie wiedzieć, jaki termin powiadomienia jej własna umowa powierzenia przetwarzania danych ustala na piśmie dla tego dostawcy, zamiast zakładać, że amerykańska firma sama podzieli się wiadomością, gdy tylko coś pójdzie nie tak. Własny harmonogram IDScan - rzekomy rok cichego dostępu, a potem dziewięć dni między publiczną ofertą w dark webie a potwierdzeniem ze strony firmy - to argument za traktowaniem tej klauzuli jako kluczowej, a nie formalności, i za tym, by zapytać teraz, a nie po kolejnym nagłówku, jak dokładnie szybko dostawca jest umownie zobowiązany dać znać.

Servola Journal

Robimy to dla wszystkich, którzy starają się nadążyć za tym, co technologia robi z naszym życiem. Dla ludzi, którzy ją budują, i dla ludzi, którym się to przydarza. Servola Journal istnieje, aby to, czego się uczymy, należało do nich wszystkich.

Nikt nam za to nie płaci. Żadnych reklam, żadnego muru płatności, za darmo dla wszystkich. Po prostu wierzymy, że zrozumienie tego, co dzieje się z nami wszystkimi, nie powinno zależeć od tego, kogo stać na zapłacenie za to.

Jeśli dało ci to dziś coś wartościowego, powiedz nam, żebyśmy kontynuowali. Obserwuj nas, zostaw polubienie albo napisz pozytywny komentarz. Czytamy każdy z nich, i to one nas napędzają.

Czytaj dalej: Wyciek, którego nie wyjaśni rejestr DORA  |  Wyciek CEVA dotyka nabywców Steam w Europie