IDScan pozwany za rzekomy wyciek danych 153 milionów kierowców

Media branżowe piszą o pozwach przeciwko firmie IDScan po doniesieniach o wycieku ponad 153 milionów skanów praw jazdy. Liczba nie jest oficjalnie potwierdzona przez firmę, ale wraca w dokumentach sądowych i relacjach prasowych. Skala, jeśli się utrzyma, robi z tego jeden z większych wycieków ze skanami dokumentów w ostatnich latach.

Co wiemy o incydencie z IDScan

IDScan to firma specjalizująca się w weryfikacji tożsamości. Według informacji z BleepingComputer, w sieci pojawiły się oferty sprzedaży bazy zawierającej skany praw jazdy. Liczba 153 miliony nie została oficjalnie potwierdzona przez firmę, ale taka wartość pojawia się w pozwach i komunikatach medialnych. W chwili pisania tego tekstu IDScan nie wydał szczegółowego oświadczenia na temat zakresu naruszenia, a część informacji pochodzi z dokumentów sądowych i doniesień prasowych.

Według dostępnych danych, wyciek miał umożliwić przejęcie bardzo wrażliwych informacji: imion, nazwisk, adresów, dat urodzenia, numerów dokumentów i zdjęć. Tego typu dane są szczególnie cenione na forach przestępczych i mogą być wykorzystywane do kradzieży tożsamości, wyłudzeń czy phishingu. Warto przypomnieć, że podobne sprawy miały miejsce wcześniej, a skany dokumentów pojawiały się już w analizach na blackweb.pl oraz w dossier skany dokumentów.

Skala i specyfika wycieku

Jeśli liczba 153 milionów jest prawdziwa, mowa o danych przewyższających populację niektórych państw. IDScan obsługuje klientów korporacyjnych, instytucje finansowe, hotele i organizacje wymagające szybkiej, cyfrowej weryfikacji tożsamości. W praktyce oznacza to, że wyciek nie dotyczy tylko obywateli jednego kraju, ale użytkowników wielu platform i usług.

Nie ma jeszcze jasności, czy baza zawiera kompletne skany, czy wyłącznie dane tekstowe z dokumentów. Media sugerują, że chodzi o pełne obrazy praw jazdy, co podnosi poziom zagrożenia. Skany dokumentów są trudniejsze do zmiany niż hasło czy numer telefonu. Raz ujawnione, mogą krążyć w sieci przez lata.

Kontekst prawny i reakcje

Po ujawnieniu incydentu przeciwko IDScan złożono kilka pozwów zbiorowych. Zarzuty dotyczą niedostatecznej ochrony danych oraz braku szybkiej i przejrzystej informacji dla poszkodowanych. W pozwach powołuje się na naruszenie przepisów o ochronie danych osobowych, w tym amerykańskich regulacji stanowych. Nie podano jeszcze, czy sprawą zainteresowały się agencje federalne.

Warto zauważyć, że podobne przypadki skutkują często wysokimi karami finansowymi, kosztownymi ugodami oraz koniecznością wdrożenia dodatkowych środków bezpieczeństwa. W praktyce jednak nawet najlepszy audyt nie cofnie już wycieku. Dane, które raz trafiły do obiegu przestępczego, pozostaną tam na długo.

Potencjalne konsekwencje dla użytkowników

Wyciek danych weryfikacyjnych ma inny ciężar niż np. wyciek haseł. Skany dokumentów tożsamości są używane do rejestracji w usługach online, a do otwierania kont bankowych, wynajmu mieszkań czy składania wniosków kredytowych. Przestępcy mogą wykorzystać te dane do tzw. syntetycznej tożsamości, czyli tworzenia nowych, fałszywych profili na bazie prawdziwych dokumentów.

Dla osób, których dane znalazły się w wycieku, oznacza to potencjalne ryzyko podszywania się, prób wyłudzeń czy nawet problemów prawnych, jeśli ktoś posłuży się ich dokumentami. Ochrona przed takim scenariuszem jest trudna, bo zmiana numeru prawa jazdy czy wydanie nowego dokumentu to proces czasochłonny i kosztowny.

Warto zwrócić uwagę, że temat ochrony skanów dokumentów i ich obiegu w sieci był już poruszany na blackweb.pl oraz w dossier skany dokumentów. Wnioski pozostają aktualne: każda firma przetwarzająca tego typu dane powinna traktować je jak materiał wybuchowy.

Porównanie z innymi incydentami

W ostatnich miesiącach pojawiało się wiele doniesień o wyciekach danych. Przykładem jest sprawa Mathspace, gdzie naruszenie dotknęło ponad milion osób. Choć skala była mniejsza, mechanizm podobny: włamanie do systemu i próba sprzedaży bazy na forach przestępczych. Różnica polega na typie danych. W przypadku IDScan chodzi o dokumenty tożsamości, które są znacznie bardziej wartościowe i niebezpieczne w obrocie podziemnym.

Warto śledzić rozwój sprawy, bo kolejne szczegóły mogą ujawnić słabości nie tylko jednej firmy, ale całego modelu cyfrowej weryfikacji tożsamości. Jeśli potwierdzi się, że luka dotyczyła infrastruktury chmurowej lub błędnej konfiguracji, konsekwencje mogą być szerokie i objąć także innych dostawców.

Źródła

• IDScan sued over alleged data breach affecting 153 million drivers (BleepingComputer)
• Mathspace discloses data breach affecting over 1 million people (BleepingComputer)