Ditt Körkortsfoto Låg Ett År På Deras Server

Ett År Av Tyst Åtkomst, Sedan En Bekräftelse

IDScan, en identitetsverifieringstjänst baserad i Louisiana som nöjesanläggningar och cannabisdispensarer använder för att kontrollera kunders dokument, bekräftade den 10 september att hackare hade stulit identitetsuppgifter från dess molnlagring. Säkerhetsjournalisten Brian Krebs hade redan rapporterat den underliggande incidenten den 2 september, efter att en dark web-plattform börjat erbjuda sökbar åtkomst till en databas som säljarna kallade Nexus, mer än 11,5 miljoner resultatsidor med omkring femton poster per sida. Angriparna hävdade att de kontinuerligt hämtat ut nya uppgifter från IDScan i över ett år innan annonsen dök upp, vilket betyder att exponeringen inte var en enskild incident utan en lång, oupptäckt insamlingsoperation.

FBI:s kontor i New Orleans öppnade en formell utredning den 1 september, och Pentagon bekräftade att man kände till den misstänkta incidenten efter att den amerikanska försvarsministern Pete Hegseths eget register dök upp bland de komprometterade filerna, oberoende bekräftat av en säkerhetsforskare. IDScans offentliga uttalande erbjöd knappt mer än ett erkännande, och bolaget uppgav till en reporter att man ännu inte kunde dela ytterligare detaljer medan den egna utredningen pågick. Full åtkomst till den läckta databasen krävde enligt uppgift betalning, strukturen hos en utpressningsförsäljning snarare än ett enkelt läckage.

Vad Som Faktiskt Togs

De stulna uppgifterna fördelar sig efter dokumenttyp, och omfattningen ligger klart över alla jämförbara id-dokumentincidenter rapporterade i år. Körkort utgör den överväldigande majoriteten, men samlingen sträcker sig in i flera andra dokumentkategorier som IDScans kunder förlitar sig på för ålders- och identitetskontroller.

Ontario ensamt stod för omkring 473 000 av de kanadensiska körkorten i mängden, en påminnelse om att en amerikanskbaserad leverantörs incident inte respekterar gränsen dess kunder verkar över. Varje post innehåller ett fullständigt namn och ett officiellt dokumentnummer, och i de flesta fall själva den skannade fotosidan, precis den kombination identitetstjuvar behöver för att öppna konton eller klara automatiserade kontroller på andra ställen.

Luckan Ert Eget Leverantörsavtal Borde Täppa Till

Ett företag i EU eller Storbritannien som lägger ut ålders- eller identitetskontroller på entreprenad, alltmer ett rättsligt krav snarare än en bekvämlighet enligt regler som Digital Services Act's bestämmelser om åldersverifiering, lämnar över en kopia av kundernas officiella dokument till en leverantör i tredje land och har därefter nästan ingen insyn i hur länge den leverantören sitter på en incident innan den säger något. GDPR ger en personuppgiftsansvarig 72 timmar från det att man fått kännedom om en incident att anmäla den till sin tillsynsmyndighet, och NIS2 ger en väsentlig eller viktig enhet bara 24 timmar för en tidig varning. Ingen av dessa frister når IDScan direkt, eftersom klockan bara börjar ticka när den EU-baserade personuppgiftsansvarige själv får kännedom, och en amerikansk databehandlare har ingen motsvarande lagstadgad skyldighet att snabbt berätta det för sina kunder, eller alls, utöver vad det underliggande personuppgiftsbiträdesavtalet anger.

Den luckan är den handlingsbara delen av den här historien. Ett företag som förlitar sig på en identitetsverifieringsleverantör borde redan veta exakt vilken anmälningsfrist dess eget personuppgiftsbiträdesavtal skriftligen fastställer för den leverantören, i stället för att anta att ett amerikanskt bolag självmant delar nyheten så snart något går fel. IDScans egen tidslinje, ett påstått år av tyst åtkomst följt av nio dagar mellan den offentliga dark web-annonsen och bolagets bekräftelse, är argumentet för att behandla den klausulen som bärande snarare än en formalitet, och för att fråga nu, inte efter nästa rubrik, exakt hur snabbt en leverantör är avtalsmässigt skyldig att höra av sig.

Servola Journal

Vi gör det här för alla som försöker hänga med i vad tekniken gör med våra liv. Människorna som bygger den, och människorna det händer med. Servola Journal finns så att det vi lär oss tillhör dem alla.

Ingen betalar oss för det här. Inga annonser, ingen betalvägg, gratis för alla. Vi tror helt enkelt att förståelsen av vad som händer oss alla inte borde bero på vem som har råd att betala för den.

Om detta gav dig något idag, säg till oss att fortsätta. Följ oss, lämna en gilla-markering eller skriv en positiv kommentar. Vi läser varenda en, och de är det som håller oss igång.

Läs vidare: Ett dataintrång ert DORA-register inte kan förklara  |  CEVA-läcka drabbar Steam-kunder i Europa