Сервіс у темному вебі згідно з повідомленнями пропонує до продажу більше 153 мільйонів записів водійських прав США та Канади, а ФБР розслідує очевидний витік даних, що стосується провайдера верифікації ідентичності IDScan.net. Це ще один випадок, коли деякі з механізмів, призначених для захисту американської громадськості, використовуються для завдання шкоди. Проблема очевидна: поточні антишахрайські процеси, що вимагають ідентифікації та верифікації клієнтів, сприяють шахрайській діяльності, передаючи злочинцям вашу конфіденційну інформацію на срібному блюдечку.
Кібератаки, спрямовані на персональні дані, що дозволяють ідентифікувати особу (PII), уже довгий час є поширеними і лише погіршуються. У 2017 році Equifax — одна з найбільших агенцій зі збору кредитної інформації в США — стала жертвою кібератаки, внаслідок якої було скомпрометовано чутливу особисту інформацію майже 148 мільйонів американців. Майже 45% американців втратили свої дані. Міністерство юстиції звинуватило Народно-визвольну армію Китаю у здійсненні хакерської атаки у звинуваченні 2020 року, але це було лише тимчасовим рішенням для основної та все більш поширеної проблеми.
Лаз Пайпер є директором з досліджень у Coin Center, який захищає права осіб будувати, використовувати та створювати вільні та відкриті однорівневі мережі та право робити це конфіденційно.
Більшість людей, ймовірно, ніколи не чули про IDScan, але передавали водійські права бізнесам, які використовують його технології та послуги. Як випливає з назви, IDScan спеціалізується на верифікації особистості та надає апаратне та програмне забезпечення для сканування, розбору та аутентифікації документів для агенств оренди автомобілів, банків, готелів, казино, магазинів канабісу, роздрібних торговців та інших бізнесів. Його системи можуть захоплювати зображення лицевої та зворотної сторінок, витягувати особисту інформацію, порівнювати фотографію з документа з селфі та передавати або зберігати отримані дані в хмарному порталі, щоб бізнеси могли продовжувати отримувати до них доступ після аутентифікації.
Незважаючи на будь-які заходи кібербезпеки, його бізнес-модель завжди була вразливою до атак. Дані — одна з найцінніших товарів XXI століття. Уряди та корпорації розробили схеми, щоб отримати якомога більше даних від громадян і споживачів, і в процесі відкрили двері для кіберзлочинців та іноземних супротивників взяти участь у сучасній золотій лихоманці.
Найважливішими даними, звичайно, є ПІІ, які складаються з надзвичайно конфіденційної інформації, зокрема імені та адреси особи, а також її документів, виданих урядом, таких як водійські права або паспорт. Щоб отримати доступ до великої кількості послуг у США, американці повинні ідентифікувати себе, а постачальники послуг повинні перевірити, що вони дійсно є тими, за кого себе видають. Ця вимога може бути як регуляторною, так і комерційною: уряд хоче запобігти шахрайству та незаконній діяльності, але й бізнес цього хоче. На жаль, спосіб, яким це робиться, мало що зробив для запобігання шахрайству та незаконній діяльності, але багато що зробив для їхнього підсилення.
Фінансові установи, такі як банки, є найкращим прикладом. Фінансові установи зобов’язані згідно з Законом про банківську таємницю (BSA) та його регуляторними положеннями збирати та зберігати записи про персональні дані особи під час онбордингу нових клієнтів для боротьби з незаконним фінансуванням та шахрайством. Ця конфіденційна, цінна інформація часто зберігається в центральній базі даних, відомій як «медовий пік», що робить її привабливою метою для хакерів. Коли персональні дані особи вкрадені, їх можна використовувати для відкриття або компрометації акаунтів, проведення шахрайських транзакцій та відмивання грошей в ім’я невинної особи.
Як виявилися ці «профілактичні» заходи для США та глобальної фінансової системи? База даних скарг і звітів споживачів Федеральної торгової комісії отримала 6,47 мільйона звітів щодо шахрайства, крадіжки особистих даних та інших проблем споживачів у 2024 році, що на значно більше, ніж приблизно 860 000 у 2004 році. І нелегальний фінансовий рух триває масштабно: було оцінено, що глобальна нелегальна фінансова діяльність досягла $4,4 трильйона лише минулого року.
Фінансові установи все частіше використовують різні методи верифікації клієнтів, щоб запобігти злочинцям обходити їхні контрольні пункти проти шахрайства — навіть отримавши особисту інформацію законопослушного громадянина — але ці методи виявилися найбільше незначними перешкодами. Тимчасові коди, надіслані через SMS або електронну пошту, легко піддаються компрометації за допомогою фішингових атак та інших методів, а біометрична перевірка втрачає ефективність через швидкий розвиток штучного інтелекту.
IDScan не є фінансовою установою і за законом не зобов’язаний зберігати будь-які персональні дані — це просто постачальник, який дозволяє іншим бізнесам проводити перевірку особистості. Однак бізнеси, які використовували хмарні сервіси IDScan, зосередили свої «приманки» у більш централізованому місці, що значно спростило компрометацію даних.
Враховуючи все це, чому ми здаємо свою конфіденційну особисту інформацію, якщо єдине, що ми отримуємо замість цього — хибні обіцянки безпеки? Американці не стали безпечнішими, бо визнають свою особистість перед кожним постачальником послуг у кожний момент свого життя. Навпаки. Та уряди вдома та за кордоном бажають ще більше розширити систему ідентифікації за допомогою верифікації віку під приводом захисту дітей. Але знову бачимо, що ці «захисти» завдають більшої шкоди, ніж користі. Наша інформація вже зараз поширюється серед злочинців, бо уряди та корпорації хотіли знати, хто ми такі та що ми робимо. І зараз ми платимо за це.
Якщо коли-небудь і був час для більш сильного захисту приватності, то це зараз. Однак ми не можемо ігнорувати нюанси. Є заклики повністю скасувати процеси ідентифікації та верифікації. Це приваблива альтернатива, але реальність полягає в тому, що основна мета протидії шахрайству — захистити американців та їх майно, а також захистити дохід та операційну цілісність бізнесу — поточний підхід просто невдалий. Тут є реальна користь, але це не означає, що ми повинні залишатися при поточному стані речей.
Розробка технологій дає можливість запровадити кращий підхід. Замість того щоб постійно вимагати в американців надавати повні копії своїх документів, системи, що забезпечують конфіденційність, можуть дозволити особам підтверджувати лише те, що необхідно службі — наприклад, їх вік, правомірність або контроль над акаунтом — зберігаючи при цьому базову інформацію під їхнім контролем.
Ці технології ще розробляються, але федеральні регулятори повинні надати установам можливість тестувати їх і оновлювати існуючі вимоги по мірі їх дозрівання. Крім того, зі зростанням кількості підходів, що забезпечують конфіденційність, Конгрес повинен зменшити непотрібні вимоги щодо збирання та зберігання інформації. Процеси запобігання шахрайству все ще корисні, але можуть існувати без постійного досьє, яке злочинці можуть вкрасти.
Ще більш терміново, Вашингтон і різні державні уряди повинні припинити будь-яке законодавство або регулювання, яке поширює вимоги щодо ідентифікації та верифікації на області, де вони ще не існують і не потрібні. Зусилля щодо верифікації віку відкритого програмного забезпечення та інтернету повинні припинитися; вони загрожують звичайним американцям і надають перевагу злочинцям та іноземним супротивникам, тоді як не захищають дітей.
Подібні порушення можна запобігти; нам просто потрібно захотіти їх запобігти. Інструменти для цього починають з’являтися, і в випадках, коли нам не потрібно перевіряти особу, ми повинні уникати цього. Бо найкращий спосіб захистити конфіденційну особисту інформацію — це взагалі її не збирати.