Isang serbisyo sa dark web ay ayon sa mga ulat ay nag-aalok ng higit sa 153 milyong rekord ng driver’s license ng Amerika at Canada para sa pagbebenta, at pinag-aaralan ng FBI ang isang malinaw na paglabas ng data na may kinalaman sa provider ng pag-verify ng identity na IDScan.net. Ito ay isa pang kaso kung деan ang ilan sa mga mekanismo na dapat na protektahan ang publiko ng Amerika ay ginagamit upang sirain ito. Malinaw ang problema: ang kasalukuyang mga proseso laban sa fraud na nangangailangan ng pag-identidad at pag-verify ng customer ay nagpapalakas sa fraudulent na gawain sa pamamagitan ng pagbibigay sa mga kriminal ng iyong sensitibong impormasyon sa isang silver platter.
Ang mga cyberattack na naglalayon sa personally identifiable information (PII) ay malawakang nangyayari na sa ilang panahon at patuloy na lumalala. Noong 2017, ang Equifax — isa sa mga pinakamalaking ahensya ng pagrereport ng kredito sa U.S. — ay naging biktima ng cyberattack na nagresulta sa pagkakasira ng sensitibong personal na impormasyon ng halos 148 milyong Amerikano. Halos 45% ng mga Amerikano ang nasakop ng pagkakawala ng kanilang data. Sinasabing ng Department of Justice na ang Chinese People’s Liberation Army ang may-ari ng hack sa isang indictment noong 2020, ngunit ito ay isang pansamantalang solusyon lamang sa mas malalim at patuloy na lumalaganap na problema.
Si Laz Pieper ay ang direktor ng pananaliksik sa Coin Center, na nagtatanggol ng mga karapatan ng mga indibidwal na bumuo, gamitin, at mag-assembly ng libre at bukas na peer-to-peer network, at ang karapatan na gawin ito nang pribado.
Karamihan sa mga tao ay posibleng hindi nakarinig ng IDScan, ngunit nakapagbigay na ng driver’s license sa mga negosyo na gumagamit ng kanyang teknolohiya at serbisyo. Ayon sa pangalan nito, espesyalisado ang IDScan sa pag-verify ng ID at nagbibigay ng hardware at software na nakakascan, nakapaparse, at nakakapag-authenticate ng ID para sa mga ahensya ng pag-renta ng kotse, mga banko, mga hotel, mga casino, mga dispensary ng cannabis, mga retailer, at iba pang negosyo. Maaari ng mga sistema nito na makakuha ng imahe sa harap at sa likod, i-extract ang personal na impormasyon, i-compare ang litrato ng ID sa isang selfie, at i-transmit o i-store ang resultang data sa isang cloud portal para sa mga negosyo upang maaari nilang tuloy-tuloying ma-access pagkatapos ng autentikasyon.
Sa kabila ng anumang mga pagsasagawa sa cybersecurity, ang modelo ng negosyo nito ay laging nakadepende sa mga pag-atake. Ang data ay isa sa pinakamahalagang kalakal ng ika-21 siglo. Ang mga gobyerno at mga korporasyon ay nagdisenyo ng mga plano upang makakuha ng kahit anong dami nito mula sa mga mamamayan at mga konsyumer, at sa proseso, binuksan ang pinto para sa mga cyberkriminal at dayuhang kalaban na makilahok sa modernong gold rush.
Ang pinakamalalaking impormasyon ay, siyempre, ang PII, na binubuo ng napakasensitibong detalye, kabilang ang pangalan at tirahan ng isang tao, pati na rin ang kanilang government-issued ID, tulad ng driver’s license o passport. Upang makakuha ng isang magandang amount ng mga serbisyo sa U.S., kailangan ng mga Amerikano na makilala ang kanilang sarili at kailangang i-verify ng mga service provider na sila ay tunay na sino sila. Ang pangangailangang ito ay maaaring regulahoryo at komersyal: nais ng gobyerno na pigilan ang fraud at ilegal na gawain, ngunit ganoon din ang mga negosyo. Sa kabutihan, ang paraan kung paano gawin ito ay nagawa nang kaunti upang pigilan ang fraud at ilegal na gawain, ngunit marami upang palakasin ang kanila.
Ang mga institusyong pampinansyal, tulad ng mga bangko, ang nagbibigay ng pinakamabuting halimbawa. Kailangan ng mga institusyong pampinansyal ayon sa the Bank Secrecy Act (BSA) and its regulations na kumolekta at panatilihin ang mga rekord ng PII habang nag-o-onboard ng mga bagong kliyente upang labanan ang ilegal na pampinansyal at pandaraya. Ang sensitibo at may halagang impormasyong ito ay madalas na itinatabi sa isang sentralisadong database, na kilala bilang “honeypot,” na ginagawa itong atraktibong layunin para sa mga hacker. Kapag nakuha na ang PII, maaari itong gamitin upang buksan o kompromiso ang mga account, gawin ang mga fraudulent na transaksyon, at linisin ang pera sa pangalan ng isang walang kasalanan na tao.
Paano nagresulta ang mga “pagpigil” na hakbang na ito para sa U.S. at pandaigdigang sistemang pampananalapi? Ang database ng mga reklamo at ulat ng mga konsyumer ng Federal Trade Commission ay tumanggap ng 6.47 milyong ulat tungkol sa pandaraya, pagkakakilanlan, at iba pang problema ng konsyumer noong 2024, tumaas mula sa halos 860,000 noong 2004. At ang ilegal na pampalapi ay umuusbong nang malawakan: inilahad na ang pandaigdigang ilegal na pampalapi ay umabot sa $4.4 trilyon lamang noong nakaraang taon.
Lumalago ang paggamit ng mga pinansyal na institusyon sa iba’t ibang paraan para sa pag-verify ng mga customer upang pigilan ang mga kriminal na maipaglaban ang kanilang mga checkpoint laban sa pandaraya — bagaman nakakakuha sila ng PII ng isang mamamayang sumusunod sa batas — ngunit ang mga paraang ito ay patunay na mga maliit na hadlang lamang. Ang pansamantalang code na nadadala sa pamamagitan ng text o email ay madaling ma-compromise sa pamamagitan ng phishing attacks at iba’t ibang iba pang paraan, at ang mga biometrikong pagsubok ay nagiging mas mahina dahil sa mabilis na pag-unlad ng artificial intelligence.
Hindi ang IDScan isang financial institution, ni hindi ito kinakailangan ng batas na panatilihin ang anumang PII ng mga tao—ito ay isang vendor lamang na nagpapahintulot sa iba pang mga negosyo na gawin ang mga pagsusuri ng pagkakakilanlan. Gayunpaman, ang mga negosyo na gumamit ng cloud services ng IDScan ay pinagsama ang kanilang mga honeypots sa isang mas sentralisadong lokasyon at ginawang mas madali ang pagkabigo sa data.
Sa pag-uugnay ng lahat ng ito, bakit tayo’y nagpapasa ng aming sensitibong personal na impormasyon kung ang tanging natatanggap natin ay mga maling pangako ng kaligtasan? Hindi mas ligtas ang mga Amerikano dahil sila’y nagpapakilala sa bawat pagkakataon sa bawat serbisyo na kanilang makikita. Malayo sa katotohanan. At gayunpaman, ang mga gobyerno sa bansa at sa ibang bansa ay nais pang palawakin ang sistema ng pagkilala pa higit pa sa pamamagitan ng age verification sa pangalan ng pagprotekta sa mga bata. Ngunit muli naming nakikita na ang mga “proteksyon” na ito’y nagdudulot ng higit na pinsala kaysa kabutihan. Ang aming impormasyon ay nasa labas, binibili at binibigay ng mga kriminal dahil ang mga gobyerno at korporasyon ay nais malaman kong sino tayo at ano ang ginagawa natin. At ngayon, tayo’y nagbabayad ng presyo.
Kung may panahon na kailangan ng mas malakas na privacy, iyon ay ngayon. Gayunpaman, hindi natin maaaring ignore ang nuwansa. May mga tawag para alisin ang lahat ng proseso ng pagkilala at pag-verify. Ito ay isang atraktibong alternatiba, ngunit ang katotohanan ay ang pangunahing layunin ng mga proseso laban sa fraud ay protektahan ang mga Amerikano at kanilang ari-arian, at protektahan din nito ang kita at operasyonal na integridad ng mga negosyo — ang kasalukuyang pagkakasundo ay simple lang ay hindi tagumpay. May totoong utilidad dito, ngunit hindi ito nangangahulugan na kailangan nating manatili sa kasalukuyang kalagayan.
Ang pag-unlad ng teknolohiya ay nagtataglay ng posibilidad para sa mas mabuting paraan. Sa halip na paulit-ulit na hingin ang mga kopya ng ID ng mga Amerikano, ang mga sistemang nagpapanatili ng privacy ay maaaring payagan ang mga indibidwal na patunayan ang tanging impormasyon na kailangan ng serbisyo — tulad ng kanilang edad, kwalipikasyon, o awtoridad sa isang account — habang pinapanatili ang mga pangunahing impormasyon sa ilalim ng kanilang kontrol.
Ang mga teknolohiyang ito ay kasalukuyang nasa pagbuo, ngunit dapat bigyan ng puwang ng mga pederal na regulador ang mga institusyon upang subukan ang mga ito at i-update ang mga umiiral na mga kinakailangan habang sila ay umuunlad. Dagdag pa, habang lumalabas ang higit pang mga paraan na nagpapahinga sa privacy, dapat bawasan ng Kongreso ang hindi kinakailangang mga kinakailangan sa pagkolekta at pagpanatili ng impormasyon. Ang mga proseso laban sa pandaraya ay patuloy na may halaga, ngunit maaari itong umiiral nang walang permanenteng dossie para sa mga kriminal na maaaring mabawasan.
Mas makapagpapabilis, dapat hinto ng Washington at iba’t ibang pamahalaang pampulong ang anumang batas o regulasyon na lalawagan ang mga pangangailangan sa pagkilala at pag-verify sa mga lugar kung де wala nang umiiral at hindi kailangan. Dapat tapusin ang pagpupush tungkol sa pag-verify ng edad sa open-source software at internet; ito’y nagdudulot ng panganib sa karaniwang Amerikano at nagbibigay-pwersa sa mga kriminal at dayuhang kalaban, habang hindi nakakaprotekta sa mga bata.
Ang mga paglabag tulad nito ay maiiwasan; kailangan lang nating gustuhin na iwasan sila. Ang mga kasangkapan para dito ay nagsisimulang lumabas, at sa mga kaso kung де hindi natin kailangang i-verify ang isang tao, dapat nating iwasan ang paggawa nito. Dahil ang pinakamahusay na paraan upang protektahan ang sensitibong personal na impormasyon ay hindi ito makalap nang sa lahat.