Um serviço da dark web está supostamente oferecendo mais de 153 milhões de registros de carteiras de motorista americanas e canadenses à venda, e o FBI está investigando uma aparente violação de dados envolvendo o provedor de verificação de identidade IDScan.net. Este é mais um caso em que alguns dos mecanismos supostamente destinados a proteger o público americano estão sendo usados para prejudicá-lo. O problema é claro: os atuais processos anti-fraude que exigem identificação e verificação do cliente facilitam atividades fraudulentas, entregando aos criminosos suas informações sensíveis em uma bandeja de prata.
Ataques cibernéticos direcionados a informações pessoalmente identificáveis (PII) são prevalentes há algum tempo e estão apenas piorando. Em 2017, a Equifax — uma das maiores agências de relatório de crédito dos EUA — sofreu um ataque cibernético que resultou na compromissão das informações pessoais sensíveis de quase 148 milhões de americanos. Quase 45% dos americanos tiveram seus dados roubados. O Departamento de Justiça alegou, em uma acusação de 2020, que o Exército de Libertação Popular da China estava por trás do hack, mas isso foi meramente um curativo para o problema subjacente e cada vez mais prevalente.
Laz Pieper é o diretor de pesquisa do Coin Center, que defende os direitos dos indivíduos de construir, usar e montar redes ponto a ponto livres e abertas, e o direito de fazê-lo privadamente.
A maioria das pessoas provavelmente nunca ouviu falar da IDScan, mas já entregou uma carteira de motorista a empresas que utilizam sua tecnologia e serviços. Como o nome sugere, a IDScan especializa-se em verificação de identidade e fornece hardware e software que escaneiam, interpretam e autenticam identidades para agências de locação de carros, bancos, hotéis, cassinos, dispensários de cannabis, varejistas e outras empresas. Seus sistemas podem capturar imagens da frente e verso, extrair informações pessoais, comparar a foto da identidade com uma selfie e transmitir ou armazenar os dados resultantes em um portal na nuvem, permitindo que as empresas acessem essas informações após a autenticação.
Apesar de quaisquer medidas de cibersegurança, seu modelo de negócios sempre foi propenso a ataques. Os dados são uma das mercadorias mais valiosas do século XXI. Governos e corporações projetaram esquemas para adquirir o máximo possível de dados de cidadãos e consumidores, e, nesse processo, abriram a porta para criminosos cibernéticos e adversários estrangeiros participarem da corrida do ouro moderna.
Os dados mais consequentes são, naturalmente, os DIP, que consistem em detalhes altamente sensíveis, incluindo o nome e endereço de uma pessoa, bem como seu documento de identidade emitido pelo governo, como uma carteira de motorista ou passaporte. Para acessar uma boa quantia de serviços nos EUA, os americanos devem se identificar e os provedores de serviços devem verificar que são quem dizem ser. Essa exigência pode ser tanto regulatória quanto comercial: o governo quer prevenir fraude e atividades ilícitas, mas as empresas também. Infelizmente, a maneira como isso é feito fez pouco para prevenir fraude e atividades ilícitas, mas muito para capacitá-las.
Instituições financeiras, como bancos, oferecem o melhor exemplo. Instituições financeiras são obrigadas, conforme o Bank Secrecy Act (BSA) e suas regulamentações, a coletar e manter registros de IIP ao onboarding novos clientes para combater o financiamento ilícito e a fraude. Essas informações sensíveis e valiosas são frequentemente armazenadas em um banco de dados central, conhecido como “armadilha”, tornando-o um alvo atraente para hackers. Uma vez que a IIP é roubada, ela pode ser usada para abrir ou comprometer contas, realizar transações fraudulentas e lavar dinheiro em nome de uma pessoa inocente.
Como essas medidas “preventivas” se mostraram para o sistema financeiro dos EUA e global? O banco de dados de reclamações e relatórios dos consumidores da Comissão Federal de Comércio recebeu 6,47 milhões de relatos sobre fraude, roubo de identidade e outros problemas dos consumidores em 2024, em comparação com aproximadamente 860 mil em 2004. E a finança ilícita está descontrolada: foi estimado que a atividade financeira ilícita global atingiu US$ 4,4 trilhões apenas no ano passado.
Instituições financeiras têm adotado cada vez mais diversos métodos para verificação de clientes para impedir que criminosos contornem seus pontos de verificação anti-fraude — mesmo obtendo as informações de identificação pessoal de um cidadão leal — mas esses métodos provaram ser obstáculos menores, no máximo. Códigos temporários enviados por texto ou e-mail são fácilmente comprometidos por ataques de phishing e diversos outros métodos, e verificações biométricas estão enfraquecendo com os rápidos avanços na inteligência artificial.
IDScan não é uma instituição financeira, nem é obrigado por lei a manter quaisquer dados pessoais de identificação — é meramente um fornecedor que permite que outras empresas realizem verificações de identidade. No entanto, as empresas que utilizaram os serviços em nuvem da IDScan concentraram suas armadilhas em um local mais centralizado, tornando o comprometimento de dados muito mais fácil.
Levando tudo isso em consideração, por que entregamos nossas informações pessoais sensíveis se o que recebemos em troca são falsas promessas de segurança? Os americanos não são mais seguros porque se identificam em cada momento de sua vida acordada para cada provedor de serviço que encontram. Longe disso. E, ainda assim, governos no país e no exterior desejam expandir ainda mais o regime de identificação com verificação de idade sob o pretexto de proteger crianças. Mas estamos novamente presenciando que essas “proteções” causam mais danos do que benefícios. Nossas informações estão lá fora, sendo comercializadas entre criminosos porque governos e corporações queriam saber quem nós éramos e o que estávamos fazendo. E agora pagamos o preço.
Se já houve um momento para uma privacidade mais forte, é agora. No entanto, não podemos ignorar as nuances. Há chamados para abolir completamente os processos de identificação e verificação. Esta é uma alternativa atraente, mas a realidade é que o propósito subjacente dos processos anti-fraude é proteger os americanos e seus bens, e eles protegem a receita e a integridade operacional das empresas — a abordagem atual simplesmente não é bem-sucedida. Há utilidade real aqui, mas isso não significa que precisemos permanecer com o status quo.
Tecnologias em desenvolvimento oferecem a possibilidade de uma abordagem melhor. Em vez de exigir repetidamente que os americanos entreguem cópias completas de seus documentos de identidade, sistemas que preservam a privacidade poderiam permitir que indivíduos provem apenas o que um serviço precisa saber — como sua idade, elegibilidade ou autoridade sobre uma conta — enquanto mantêm as informações subjacentes sob seu controle.
Essas tecnologias ainda estão em desenvolvimento, mas os reguladores federais devem permitir que as instituições testem-nas e atualizem os requisitos existentes à medida que amadurecem. Além disso, à medida que surgirem mais abordagens que preservam a privacidade, o Congresso deve reduzir os requisitos desnecessários de coleta e retenção de informações. Os processos anti-fraude ainda são valiosos, mas podem existir sem um dossiê permanente que criminosos possam roubar.
Mais urgentemente, Washington e vários governos estaduais devem parar qualquer legislação ou regulamentação que estenda requisitos de identificação e verificação para áreas onde eles não existem e não são necessários. A pressão pela verificação de idade de software de código aberto e da internet deve acabar; ela coloca em risco os americanos comuns e fortalece criminosos e adversários estrangeiros, enquanto não protege as crianças.
Violações como esta são evitáveis; precisamos apenas querer evitá-las. As ferramentas para isso estão começando a surgir, e nos casos em que não precisamos verificar alguém, devemos evitar fazê-lo. Porque a melhor maneira de proteger informações pessoais sensíveis é não coletá-las de forma alguma.