Un servicio de la dark web según se informa está ofreciendo más de 153 millones de registros de licencias de conducir estadounidenses y canadienses a la venta, y el FBI está investigando una aparente brecha de datos que involucra al proveedor de verificación de identidad IDScan.net. Este es otro caso más en el que algunos de los mecanismos que supuestamente están diseñados para proteger al público estadounidense se están utilizando para dañarlo. El problema es claro: los actuales procesos antifraude que requieren identificación y verificación del cliente facilitan la actividad fraudulenta al entregar a los criminales su información sensible sobre un plato de plata.
Los ciberataques dirigidos a información personal identificable (PII) han sido prevalentes durante algún tiempo y solo están empeorando. En 2017, Equifax — una de las mayores agencias de informes de crédito en EE.UU. — sufrió un ciberataque que llevó a la compromisión de la información personal sensible de casi 148 millones de estadounidenses. Casi el 45% de los estadounidenses tuvieron sus datos robados. El Departamento de Justicia alegó en una acusación de 2020 que el Ejército de Liberación Popular de China estaba detrás del hackeo, pero esto fue meramente un parche al problema subyacente y cada vez más prevalente.
Laz Pieper es el director de investigación en Coin Center, que defiende los derechos de las personas a construir, usar y ensamblar redes peer-to-peer libres y abiertas, y el derecho a hacerlo de forma privada.
La mayoría de las personas probablemente no han oído hablar de IDScan, pero han entregado una licencia de conducir a empresas que utilizan su tecnología y servicios. Como sugiere su nombre, IDScan se especializa en la verificación de identidad y proporciona hardware y software que escanean, analizan y autentican identificaciones para agencias de alquiler de automóviles, bancos, hoteles, casinos, dispensarios de cannabis, minoristas y otras empresas. Sus sistemas pueden capturar imágenes del frente y la parte trasera, extraer información personal, comparar la fotografía de la identificación con una selfie y transmitir o almacenar los datos resultantes en un portal en la nube para que las empresas puedan seguir accediendo a ellos después de la autenticación.
A pesar de cualquier medida de ciberseguridad, su modelo de negocio siempre fue propenso a ataques. Los datos son una de las mercancías más valiosas del siglo XXI. Gobiernos y corporaciones por igual han diseñado esquemas para adquirir la mayor cantidad posible de ellos de ciudadanos y consumidores, y en el proceso, han abierto la puerta a ciberdelincuentes y adversarios extranjeros para participar en la fiebre del oro moderna.
Los datos más consecuentes son, por supuesto, los IIP, que consisten en detalles altamente sensibles, como el nombre y la dirección de una persona, así como su identificación emitida por el gobierno, como una licencia de conducir o un pasaporte. Para acceder a una buena cantidad de servicios en EE.UU., los estadounidenses deben identificarse y los proveedores de servicios deben verificar que son quienes dicen ser. Este requisito puede ser tanto regulatorio como comercial: el gobierno quiere prevenir el fraude y la actividad ilícita, pero también lo hacen las empresas. Desafortunadamente, la forma en que se hace esto ha hecho poco para prevenir el fraude y la actividad ilícita, pero mucho para potenciarlos.
Las instituciones financieras, como los bancos, ofrecen el mejor ejemplo. Las instituciones financieras están obligadas por la Ley de Secretos Bancarios (BSA) y sus regulaciones a recopilar y conservar registros de IIP al incorporar nuevos clientes para combatir el financiamiento ilícito y el fraude. Esta información sensible y valiosa a menudo se almacena en una base de datos central, conocida como “jaula de atracción”, lo que la convierte en un objetivo atractivo para los hackers. Una vez robada la IIP, se puede utilizar para abrir o comprometer cuentas, realizar transacciones fraudulentas y lavar dinero en nombre de una persona inocente.
¿Cómo han resultado estas medidas “preventivas” para el sistema financiero de EE.UU. y global? La base de datos de quejas e informes de consumidores de la Comisión Federal de Comercio database of consumer complaints and reports recibió 6,47 millones de informes sobre fraude, robo de identidad y otros problemas de consumidores en 2024, frente a aproximadamente 860.000 en 2004. Y las finanzas ilícitas están descontroladas: se ha estimated que la actividad financiera ilícita global alcanzó $4,4 billones solo el año pasado.
Las instituciones financieras han adoptado cada vez más diversos métodos para la verificación de clientes para evitar que los delincuentes eviten sus puntos de control contra el fraude —a pesar de adquirir la información de identificación personal de un ciudadano cumplidor de la ley—, pero estos métodos han demostrado ser obstáculos menores como máximo. Los códigos temporales enviados por texto o correo electrónico son fácilmente comprometidos a través de ataques de phishing y diversos otros métodos, y las verificaciones biométricas están debilitándose con los rápidos avances en inteligencia artificial.
IDScan no es una institución financiera, ni está obligado por ley a retener la información personal identificable de nadie; es simplemente un proveedor que permite que otras empresas realicen verificaciones de identidad. Sin embargo, las empresas que utilizaron los servicios en la nube de IDScan concentraron sus trampas en un lugar más centralizado, facilitando mucho más una violación de datos.
Teniendo todo esto en cuenta, ¿por qué entregamos nuestra información personal sensible si lo único que recibimos a cambio son falsas promesas de seguridad? Los estadounidenses no son más seguros porque se identifiquen en cada momento despierto ante cada proveedor de servicios que encuentran. Todo lo contrario. Y sin embargo, los gobiernos, tanto en casa como en el extranjero, desean ampliar aún más el régimen de identificación con verificación de edad bajo el pretexto de proteger a los niños. Pero nuevamente estamos presenciando que estas “protecciones” causan más daño que beneficio. Nuestra información está ahí fuera, siendo comerciada entre criminales porque los gobiernos y las corporaciones querían saber quiénes éramos y qué hacíamos. Y ahora pagamos el precio.
Si alguna vez hubo un momento para una privacidad más fuerte, es ahora. Sin embargo, no podemos ignorar los matices. Hay llamados para abolir por completo los procesos de identificación y verificación. Esta es una alternativa atractiva, pero la realidad es que el propósito subyacente de los procesos anti-fraude es proteger a los estadounidenses y sus bienes, y protegen los ingresos y la integridad operativa de las empresas: el enfoque actual simplemente no tiene éxito. Aquí hay una utilidad real, pero eso no significa que debamos mantener el statu quo.
Las tecnologías en desarrollo ofrecen la posibilidad de un enfoque mejor. En lugar de requerir repetidamente que los estadounidenses entreguen copias completas de su identificación, los sistemas que preservan la privacidad podrían permitir a los individuos demostrar solo lo que un servicio necesita saber —como su edad, elegibilidad o autoridad sobre una cuenta— mientras mantienen el control sobre la información subyacente.
Estas tecnologías aún están en desarrollo, pero los reguladores federales deben permitir a las instituciones espacio para probarlas y actualizar los requisitos existentes a medida que maduren. Además, a medida que surjan más enfoques que preserven la privacidad, el Congreso debe reducir los requisitos innecesarios de recopilación y retención de información. Los procesos anti-fraude siguen siendo valiosos, pero pueden existir sin un expediente permanente que los delincuentes puedan robar.
Con mayor urgencia, Washington y varios gobiernos estatales deben detener cualquier legislación o regulación que extienda los requisitos de identificación y verificación a áreas donde no existen ni son necesarios. La presión hacia la verificación de edad del software de código abierto y de internet debe terminar; pone en peligro a los estadounidenses comunes y fortalece a los delincuentes y adversarios extranjeros, mientras no protege a los niños.
Las violaciones como esta son evitables; simplemente tenemos que querer evitarlas. Las herramientas para hacerlo están comenzando a surgir, y en los casos en que no necesitamos verificar a alguien, debemos evitar hacerlo. Porque la mejor manera de proteger la información personal sensible es no recopilarla en absoluto.