FBI ermittelt gegen Dienst, der 153 Millionen Führerscheine verkauft
FBI Probes Service Selling 153M+ Drivers Licenses
Ein neuer Identitätsdiebstahl-Dienst namens Nexus bietet auf der Dark-Web-Plattform Exploit digitale Scans von über 153 Millionen Führerscheinen aus den USA und Kanada an. Die Daten stammen offenbar von einem Identitätsverifizierungsunternehmen in Louisiana, idscan.net, das unter anderem für Hertz, Target und FedEx arbeitet. Das FBI hat eine offizielle Untersuchung eingeleitet. Die Timestamps der Bilder deuten darauf hin, dass die Daten bei Autovermietungen und anderen Orten gesammelt wurden, an denen Ausweise gescannt werden.
„Diese Systeme legen sensible Daten in die Hände immer mehr Drittanbieter, und wir haben bei Weitem nicht die Aufsicht, um ihre Sicherheit zu gewährleisten.“
- shireboy
Was wäre überhaupt die Lösung dafür? 153 Millionen Menschen brauchen so schnell wie möglich einen neuen Führerschein, und die Identitätsprüfungssysteme müssen die gestohlenen blockieren? Und was könnten die negativen Folgen sein: ein Risiko, dass böswillige Akteure verifizierte Konten in ihrem Namen eröffnen, die Möglichkeit, unter gestohlener Identität zu wählen und zu reisen, was noch?
- ethagnawl
Ich weiß, dass einige moderne, normale Länder Variationen davon gemacht haben, aber die USA haben eine goldene Gelegenheit verpasst, jedem einen RSA-Schlüssel zu geben, als sie gezwungen wurden, sich für einen Enhanced/REAL ID anzumelden. Anstatt Lizenzen zu scannen, zu fotografieren oder vor Webcams zu halten (wurde ich kürzlich dazu aufgefordert), würdest du deinen öffentlichen Schlüssel bereitstellen oder besser eine signierte Nachricht mit dem Namen, der Website oder einer anderen Kennung, die vom legitimen Anbieter gegen die id.gov-Datenbank abgeglichen wird. Natürlich steckt der Teufel im Detail, und ich würde GrandePelotas und Freunden nicht zutrauen, so ein System zu entwickeln, aber es ist absolut möglich und etwas, worüber wir zumindest nachdenken sollten.
- Nition
Was mich bei diesem Fall wirklich ärgert, ist, dass man die Daten doch einfach löschen kann, nachdem man jemanden verifiziert hat, oder? Stattdessen haben sie beschlossen, 153.347.439 von ihnen aufzubewahren.
- tgsovlerkhgsel
Wenn es eine Art feste Mindestentschädigung gäbe – selbst nur einen Dollar pro betroffener Person – und eine strenge Haftung (egal wie du angeblich alles getan hast, um die Daten zu schützen, wenn sie durchsickern, bist du verantwortlich), wären Unternehmen plötzlich sehr motiviert, a) zu sichern und b) die Daten, die sie speichern, zu minimieren. Ohne Strafen hat Hertz zum Beispiel wenig Grund, nicht 10+ Jahre Führerscheine aufzubewahren, nur für den Fall, dass sie in einem Betrugsfall nützlich sind oder später als Trainingsdaten für maschinelles Lernen. Wenn das Halten der Daten eine Verbindlichkeit von 153 Millionen Dollar wäre, würden sie zweimal nachdenken.
- trollbridge
Eine der absurdesten Sachen, die diese Identitätsprüfungsdienste machen, ist, einen Scan der Vorder- und Rückseite deines Führerscheins zu verlangen und dann eine App zu verwenden, die dich dazu bringt, den Kopf vor der Kamera zu neigen. Sie haben offensichtlich keinen echten Zugriff auf die Originalfotos, also kann ein ausgeklügelter Angreifer einfach das Ganze fälschen, aber der Rest von uns muss sehr detaillierte Gesichtsinformationen und staatliche Ausweisdokumente aktualisieren, von denen wir alle wissen, dass sie auf unbestimmte Zeit aufbewahrt werden.
- fishfasell
Also hatte ein Online-Identitätsprüfungsdienst Millionen von IDs abgegriffen, von denen viele mit Cannabis-Apotheken verbunden waren? Oh Mann, meine ID ist definitiv da draußen, Mist.
- ChrisMarshallNY
> Anbieter, die diese sensiblen Daten sammeln, müssen an einen höheren Standard gehalten werden.
Das tun sie in Europa bereits. Ich nehme an, dass es funktioniert, da ich nicht über solche Dinge dort höre (obwohl es sein könnte, dass ich nicht in europäische Nachrichten eingebunden bin).
Eine Sache an den USA ist, dass Unternehmen, die die Mittel haben, sich regulatorische Erfassung oder sogar schlichte Bestechung leisten können. Dies wird oft auf lokaler Ebene verstärkt. Ich höre ständig Anekdoten über das absurde Ausmaß nackter Korruption in meiner Stadt. Vieles davon kommt von meinen Freunden, die Unternehmen besitzen.
Je vernetzter wir sind, desto mehr Zugang haben diese kleinen, korrupten Gemeinden; also könnte ein bestochener Bürokrat in einer Kleinstadt Zugang zu einer nationalen Datenbank haben. Wir hören viel über Kleinstadt-Polizisten, die auf Flock-Kameradaten zugreifen.
- rswail
Die Hauptfrage an die Regierung ist:
1. Du weißt bereits, wer jeder ist. Per Definition ist die Identifizierung als Individuum Sache der Regierung.
2. Warum gibt es kein System, das es einem Unternehmen oder einem anderen Dienst ermöglicht, eine staatliche Identifizierung anzufordern, die verschlüsselt ist und nur für die Regierung sichtbar ist, aber es einem Unternehmen ermöglicht, bestimmte Details anzufragen, die für den Betrieb des Unternehmens erforderlich sind (z.B. Bestätigung des Führerscheins oder des Alters)?
3. Warum wird dieser Nachweis nicht direkt erbracht, sondern als Bestätigung des staatlichen Dienstes ("Ja, diese Person ist über 18", nicht "Ja, diese Person ist 37")?
Regierungen müssen die Öffentlichkeit schützen, nicht Unternehmen erlauben, ungehindert personenbezogene Daten zu sammeln.