Um Ano De Acesso Silencioso, Depois Uma Confirmação
A IDScan, um serviço de verificação de identidade sediado na Louisiana usado por locais de entretenimento e dispensários de canábis para verificar documentos de clientes, confirmou a 10 de setembro que hackers tinham roubado registos de identidade do seu armazenamento na nuvem. O jornalista de segurança Brian Krebs já tinha noticiado o incidente subjacente a 2 de setembro, depois de uma plataforma da dark web ter começado a oferecer acesso pesquisável a uma base de dados a que os vendedores chamaram Nexus, mais de 11,5 milhões de páginas de resultados a cerca de quinze registos por página. Os atacantes afirmaram ter estado a extrair continuamente novos dados da IDScan durante mais de um ano antes de o anúncio surgir, o que significa que a exposição não foi um incidente único mas uma longa operação de recolha não detetada.
O gabinete do FBI em Nova Orleães abriu uma investigação formal a 1 de setembro, e o Pentágono confirmou ter conhecimento da suspeita de violação depois de o próprio registo do secretário da Defesa dos EUA, Pete Hegseth, ter surgido entre os ficheiros comprometidos, verificado de forma independente por um investigador de segurança. A declaração pública da IDScan pouco mais ofereceu do que um reconhecimento, dizendo a um jornalista que ainda não podia partilhar detalhes adicionais enquanto a sua própria investigação prosseguia. O acesso total à base de dados divulgada exigia alegadamente um pagamento, a estrutura de uma venda de extorsão em vez de uma simples fuga de dados.
O Que Foi Realmente Roubado
Os registos roubados dividem-se por tipo de documento, e a escala situa-se bem acima de qualquer violação comparável de documentos de identidade noticiada este ano. As cartas de condução constituem a esmagadora maioria, mas a coleção estende-se a várias outras categorias de documentos em que os clientes da IDScan confiam para verificações de idade e identidade.
| Tipo de documento | Registos expostos |
|---|---|
| Cartas de condução dos EUA e do Canadá | 153 milhões ou mais |
| Outros cartões de identificação | 10 milhões ou mais |
| Passaportes e documentos de viagem | 3 milhões ou mais |
| Cartões médicos e de dispensários | 579 mil ou mais |
Só o Ontário representou cerca de 473 mil das cartas de condução canadianas no conjunto, uma lembrança de que a violação de um fornecedor sediado nos EUA não respeita a fronteira em que os seus clientes operam. Cada registo contém um nome completo e um número de documento oficial, e na maioria dos casos a própria página digitalizada com a foto, exatamente a combinação de que os ladrões de identidade precisam para abrir contas ou passar verificações automatizadas noutros locais.
A Lacuna Que O Seu Próprio Contrato Com O Fornecedor Deveria Fechar
Uma empresa da UE ou do Reino Unido que externaliza a verificação de idade ou de identidade, cada vez mais uma obrigação legal do que uma comodidade ao abrigo de regras como as disposições de verificação de idade do Digital Services Act, entrega a um fornecedor de um país terceiro uma cópia dos documentos oficiais dos seus clientes e depois tem quase nenhuma visibilidade sobre quanto tempo esse fornecedor guarda silêncio sobre uma violação antes de dizer alguma coisa. O RGPD dá a um responsável pelo tratamento 72 horas a partir do momento em que toma conhecimento de uma violação para notificar a sua autoridade de controlo, e o NIS2 dá a uma entidade essencial ou importante apenas 24 horas para um alerta precoce. Nenhum destes prazos alcança a IDScan diretamente, porque o relógio só começa a contar quando o responsável do lado da UE toma conhecimento, e um subcontratante dos EUA não tem um dever legal equivalente de informar rapidamente os seus clientes, ou sequer de os informar, para além do que o acordo de tratamento de dados subjacente especificar.
Essa lacuna é a parte acionável desta história. Uma empresa que depende de um fornecedor de verificação de identidade já deveria saber exatamente que prazo de notificação o seu próprio acordo de tratamento de dados estabelece por escrito para esse fornecedor, em vez de presumir que uma empresa dos EUA partilhará a notícia por iniciativa própria assim que algo correr mal. O próprio calendário da IDScan, um alegado ano de acesso silencioso seguido de nove dias entre o anúncio público na dark web e a confirmação da empresa, é o argumento para tratar essa cláusula como estrutural e não como uma formalidade, e para perguntar agora, não depois da próxima manchete, exatamente com que rapidez um fornecedor está contratualmente obrigado a avisar.
Servola Journal
Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.
Ninguém nos paga por isto. Sem anúncios, sem muro de pagamento, gratuito para todos. Acreditamos simplesmente que compreender o que nos está a acontecer a todos não deveria depender de quem pode pagar por isso.
Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um gosto ou escreva um comentário positivo. Lemos todos, e são eles que nos mantêm em andamento.
Leia a seguir: Uma falha que o registo do DORA não explica | Falha na CEVA afeta compradores de Steam na Europa
