Bir dark-web hizmetinin, 153 milyondan fazla Amerikalı ve Kanadalı sürücü belgesi kaydını satışa sunduğu bildiriliyor ve FBI, kimlik doğrulama sağlayıcısı IDScan.net ile ilgili olası bir veri ihlalini soruşturuyor. Bu, sözde Amerikan halkını korumayı amaçlayan bazı mekanizmaların ona zarar vermek için kullanıldığı bir başka vaka. Sorun açık: Müşteri kimliği tespiti ve doğrulaması gerektiren mevcut dolandırıcılık karşıtı süreçler, suçlulara hassas bilgilerinizi altın tepsi içinde sunarak sahtekarlık faaliyetlerini güçlendiriyor.
Kişiye özgü bilgileri (PII) hedef alan siber saldırılar bir süredir yaygındır ve sadece artmaktadır. 2017 yılında, ABD'deki en büyük kredi raporlama ajanslarından biri olan Equifax siber bir saldırıya uğradı ve bu saldırı, neredeyse 148 milyon Amerikalının hassas kişisel bilgilerinin ele geçirilmesine neden oldu. Amerikalıların neredeyse %45'inin verileri çalındı. Adalet Bakanlığı, 2020'de verilen iddianamede Çin Halk Kurtuluş Ordusu'nun bu hack'in arkasında olduğunu iddia etti, ancak bu sadece temel ve giderek daha yaygın hale gelen soruna geçici bir çözüm oldu.
Laz Pieper, Coin Center'ın araştırmaların direktörüdür ve bu kurum, bireylerin özgür ve açık noktadan noktaya ağlar kurma, kullanma ve birleştirme hakkını ile bu hakkı özel olarak yapma hakkını savunur.
Çoğu kişi muhtemelen IDScan’ı duymamıştır, ancak teknolojisini ve hizmetlerini kullanan işletmelere ehliyet vermiştir. İsimden de anlaşılacağı gibi, IDScan kimlik doğrulamaya özelleşmiştir ve otokiralama ajansları, bankalar, oteller, kumarhaneler, kenevir distribütörleri, perakendeciler ve diğer işletmeler için kimlikleri tarayan, ayrıştıran ve doğrulayan donanım ve yazılım sağlar. Sistemleri, kimliğin ön ve arka yüzünü çekmeyi, kişisel bilgileri çıkarmayı, kimliğin fotoğrafını bir selfie ile karşılaştırmayı ve doğrulama sonrası sonuç verilerini işletmelerin erişmeye devam edebileceği bir bulut portalına iletmeyi veya depolamayı sağlar.
Herhangi bir siber güvenlik önlemine rağmen, iş modeli her zaman saldırılar için yatkındı. Veri, 21. yüzyılın en değerli mallarından biridir. Hükümetler ve şirketler, vatandaşlardan ve tüketicilerden mümkün olduğunca çok veri elde etmek için sistemler tasarladılar ve bu süreçte siber suçlulara ve yabancı düşmanlara modern çağın altın avına katılma fırsatı verdiler.
En önemli veri, elbette, bir kişinin adı ve adresi ile sürücü lisansı veya pasaport gibi devlet tarafından verilen kimlik bilgilerini içeren çok hassas ayrıntılardan oluşan Kişisel Kimlik Bilgileridir (PII). ABD'de birçok hizmete erişmek için Amerikalılar kendilerini tanıtmak zorundadır ve hizmet sağlayıcılar, onların kendilerini tanıttıkları kimlikte olduklarını doğrulamalıdır. Bu gereklilik hem düzenleyici hem de ticari olabilir: hükümet dolandırıcılığı ve yasadışı faaliyetleri önlemek istemektedir, ancak işletmeler de aynı şekilde istemektedir. Ne yazık ki, bunu yapmanın yöntemi dolandırıcılığı ve yasadışı faaliyetleri önlemekte pek etkili olmamıştır, ancak bunları güçlendirmede oldukça etkili olmuştur.
Bankalar gibi finansal kurumlar en iyi örneği sunar. Finansal kurumlar, Banka Şifrelilik Yasası (BSA) ve düzenlemeleri kapsamında yeni müşterileri onboarding sürecinde Kİİ kayıtlarını toplamak ve saklamak zorundadır; bu, yasadışı finansman ve dolandırıcılıkla mücadele amacıyla yapılır. Bu hassas, değerli bilgiler genellikle “bal peteği” olarak bilinen bir merkezi veritabanında saklanır ve bu da onları hackerlar için cazip bir hedef haline getirir. Bir kez Kİİ çalındığında, bu bilgilerle masum bir kişinin adına hesap açmak, dolandırıcılık amaçlı işlemler yapmak ve para aklamak mümkündür.
Bu “önleyici” önlemler, ABD ve küresel finans sistemi için nasıl sonuçlanmıştır? Federal Ticaret Komisyonu’nun tüketici şikâyet ve raporları veritabanı, 2024 yılında yaklaşık 860.000’den 6,47 milyona yükselen dolandırıcılık, kimlik hırsızlığı ve diğer tüketici sorunlarıyla ilgili raporlar aldı. Ve yasadışı finansman yaygın şekilde devam ediyor: Küresel yasadışı finansal faaliyetlerin geçen yıl yalnızca 4,4 trilyon dolara ulaştığı kestirildi.
Finansal kurumlar, suçluların anti-dolandırıcılık kontrol noktalarını atlamasını önlemek için müşteri doğrulama için giderek daha fazla yöntem benimsemiştir — yasalara uygun bir vatandaşın kimlik bilgilerini edinmesine rağmen — ancak bu yöntemler en iyi durumda küçük engeller olarak kanıtlanmıştır. SMS veya e-posta yoluyla gönderilen geçici kodlar, kolayca tehlikeye maruz kalır ve biyometrik kontroller, yapay zekadaki hızlı ilerlemelerle zayıflamaktadır.
IDScan bir finansal kurum değildir ve yasal olarak kimseyle ilgili kişisel verileri saklamak zorunda değildir; sadece diğer işletmelere kimlik doğrulama gerçekleştirmek için izin veren bir tedarikçidir. Ancak IDScan’ın bulut hizmetlerini kullanan işletmeler, kapanlarını daha merkezi bir konuma topladılar ve bu da veri ihlalini çok daha kolay hale getirdi.
Hepsini dikkate alındığında, tek karşılığımız güvenlik vaatleri ise neden hassas kişisel bilgilerimizi teslim ediyoruz? Amerikalılar, her karşılaştıkları hizmet sağlayıcıya her uyanık anında kendilerini tanımladıkları için daha güvenli değil. Tam tersine. Ancak evde ve yurt dışında hükümetler, çocukları koruma adı altında yaş doğrulama ile kimliklandırma rejimini daha da genişletmek istiyor. Ancak yine bu “korumaların” daha çok zarar verdiğini görüyoruz. Bilgilerimiz orada, hükümetlerin ve şirketlerin kim olduğumuzu ve ne yaptığımızı bilmek istemesi nedeniyle suçlular arasında ticaret ediliyor. Ve şimdi biz bu fiyati ödüyoruz.
Daha güçlü bir gizlilik için hiç bir zaman şu anda daha uygun bir zaman olamazdı. Ancak ince farkları göz ardı edemeyiz. Kimlik ve doğrulama süreçlerinin tamamen kaldırılması yönünde çağrılar var. Bu çekici bir alternatif, ancak gerçeklik şu ki, dolandırıcılıkla mücadele süreçlerinin temel amacı, Amerikalıları ve mülklerini korumaktır ve bunlar işletmelerin gelirini ve operasyonel bütünlüğünü de korur — mevcut yaklaşım sadece başarısızdır. Burada gerçek bir fayda var, ancak bu, mevcut durumla kalma zorunluluğumuz olduğu anlamına gelmez.
Gelişen teknolojiler, daha iyi bir yaklaşımın mümkün olmasına izin veriyor. Amerikalıların kimliklerinin tam kopyalarını tekrar tekrar teslim etmeleri yerine, gizliliği koruyan sistemler, bireylerin temel bilgilerini kendi kontrolünde tutarken, bir hizmetin bilmesi gereken tek şeyi kanıtlamalarına izin verebilir — örneğin yaşları, uygunlukları veya bir hesap üzerindeki yetkileri.
Bu teknolojiler hâlâ geliştirme aşamasındadır, ancak federal düzenleyiciler kurumların bunları test etmesi için yer bırakmalı ve olgunlaştıkça mevcut gereklilikleri güncellemelidir. Ayrıca, daha fazla gizliliği koruyan yaklaşım ortaya çıktıkça, Kongre gereksiz bilgi toplama ve saklama gerekliliklerini azaltmalıdır. Dolandırıcılıkla mücadele süreçleri hâlâ değerlidir, ancak suçluların çalabileceği kalıcı bir dosya olmadan var olabilir.
Daha acil bir şekilde, Washington ve çeşitli devlet hükümetleri, mevcut olmayan ve gerekli olmayan alanlara kimlik ve doğrulama gereksinimlerini uzatan herhangi bir yasama veya düzenlemeyi durdurmalıdır. Açık kaynaklı yazılım ve internetin yaş doğrulaması yönündeki çaba sona ermelidir; bu durum, günlük Amerikalıları tehlikeye atarken, suçlulara ve yabancı düşmanlara güç kazandırır ve çocukları korumada başarısız olur.
Bu tür ihlaller önlenebilir; sadece önlemek istemek gerekir. Bunun için gerekli araçlar ortaya çıkmaya başlamıştır ve kimseyi doğrulamaya gerek olmadığında, bunu yapmamalıyız. Çünkü hassas kişisel bilgileri korumanın en iyi yolu, onları hiç toplamamaktır.