Данные KYC представляют собой неотразимую приманку для хакеров, и мы должны изменить методы их сбора

Сервис тёмной паутины является сообщается предлагает к продаже более 153 миллионов записей водительских удостоверений США и Канады, а ФБР расследует предполагаемое нарушение безопасности данных, связанное с поставщиком услуг по подтверждению личности IDScan.net. Это ещё один пример того, как некоторые из механизмов, призванных защищать американскую общественность, используются во вред ей. Проблема очевидна: нынешние процедуры противодействия мошенничеству, требующие идентификации и верификации клиентов, способствуют мошеннической деятельности, предоставляя преступникам вашу конфиденциальную информацию на ладони.

Кибератаки, направленные на персональные идентифицируемые данные (PII), существуют уже продолжительное время и становятся только хуже. В 2017 году Equifax — одно из крупнейших кредитных бюро в США — стал объектом кибератаки что привело к компрометации конфиденциальной личной информации почти 148 миллионов американцев. Почти 45% американцев стали жертвами кражи данных. Министерство юстиции утверждало, что за атакой стояла Народно-освободительная армия Китая, согласно обвинительному заключению 2020 года, однако это было лишь временным решением более глубокой и становящейся все более распространённой проблемы.

Лаз Пайпер — директор по исследованиям в Coin Center, организации, которая защищает права индивидуумов создавать, использовать и собирать свободные и открытые одноранговые сети, а также право делать это конфиденциально.

Большинство людей, вероятно, не слышали об IDScan, но уже передавали водительские удостоверения компаниям, использующим его технологии и услуги. Как следует из названия, IDScan специализируется на верификации удостоверений личности и предоставляет оборудование и программное обеспечение для сканирования, распознавания и аутентификации удостоверений для агентств по аренде автомобилей, банков, отелей, казино, магазинов каннабиса, розничных торговцев и других предприятий. Его системы могут захватывать изображения с обеих сторон, извлекать личную информацию, сравнивать фотографию удостоверения с селфи, а также передавать или сохранять полученные данные в облачном портале для последующего доступа бизнеса после аутентификации.

Несмотря на все меры кибербезопасности, его бизнес-модель всегда была уязвима для атак. Данные — одни из самых ценных активов XXI века. Как правительства, так и корпорации разрабатывали схемы для получения максимального объема информации от граждан и потребителей, и в процессе этого открыли дверь для киберпреступников и иностранных противников, чтобы те могли участвовать в современной золотой лихорадке.

Самыми значимыми данными, разумеется, являются ПДЛ (персональные данные), состоящие из крайне конфиденциальной информации, включая имя и адрес человека, а также его государственный идентификатор, такой как водительское удостоверение или паспорт. Для получения большого количества услуг в США американцы обязаны идентифицировать себя, а поставщики услуг должны удостовериться в их подлинности. Это требование носит как регулирующий, так и коммерческий характер: правительство стремится предотвратить мошенничество и незаконную деятельность, что делают и бизнесы. К сожалению, способ реализации этих мер мало способствует предотвращению мошенничества и незаконных действий, но значительно их усиливает.

Финансовые учреждения, такие как банки, представляют собой лучший пример. Финансовые учреждения обязаны в соответствии с Закон о банковской сохранности (BSA) и его нормативные акты для сбора и хранения записей с персональными данными (PII) при привлечении новых клиентов с целью борьбы с незаконным финансированием и мошенничеством. Эта конфиденциальная и ценная информация часто хранится в центральной базе данных, известной как «honeypot», что делает её привлекательной целью для хакеров. После кражи PII она может быть использована для открытия или компрометации счетов, проведения мошеннических операций и отмывания денег от имени невиновного лица.

Как эти «превентивные» меры сказались на финансовой системе США и мира? Федеральная торговая комиссия база данных жалоб и отчетов потребителей получил 6,47 миллиона сообщений, касающихся мошенничества, кражи личных данных и других проблем потребителей в 2024 году, по сравнению примерно с 860 000 в 2004 году. И теневые финансы процветают: оценочный что мировой объем незаконной финансовой деятельности достиг 4,4 триллиона долларов только в прошлом году.

Финансовые учреждения все чаще применяют различные методы верификации клиентов для предотвращения обхода их антимошеннических систем злоумышленниками — несмотря на получение персональных данных законопослушных граждан — однако эти методы, в лучшем случае, оказываются незначительным препятствием. Временные коды, отправляемые по SMS или электронной почте, являются легко скомпрометируется через фишинговые атаки и различные другие методы, а биометрические проверки являются ослабление с быстрыми достижениями в области искусственного интеллекта.

IDScan не является финансовым учреждением и не обязана по закону сохранять персональные идентификационные данные — она лишь поставщик услуг, позволяющий другим компаниям проводить проверки личности. Тем не менее, компании, использовавшие облачные сервисы IDScan, сосредоточили свои "медовые ловушки" в более централизованном месте, что значительно облегчило компрометацию данных.

Учитывая все это, почему мы сдаём нашу конфиденциальную личную информацию, если всё, что мы получаем взамен — это ложные обещания безопасности? Американцы не становятся более защищёнными, идентифицируя себя каждую минуту бодрствования перед каждым поставщиком услуг, с которым сталкиваются. И далеко не так. Тем не менее, правительства как внутри страны, так и за её пределами стремятся ещё больше расширить режим идентификации с проверка возраста под предлогом защиты детей. Но мы вновь становимся свидетелями того, что эти «меры защиты» приносят больше вреда, чем пользы. Наша информация находится в открытом доступе и передается среди преступников, потому что правительства и корпорации хотели знать, кто мы и что мы делаем. И теперь мы расплачиваемся за это.

Если когда-либо и наступало время для усиления конфиденциальности, то это именно сейчас. Однако нельзя игнорировать нюансы. Существуют призывы к полной отмене процедур идентификации и верификации. Это привлекательная альтернатива, но реальность такова, что основная цель антифрод-процессов — защита американцев и их имущества, а также сохранение доходов и операционной целостности бизнеса — текущий подход просто неэффективен. Здесь есть реальная польза, но это не означает, что мы должны оставаться при статус-кво.

Развивающиеся технологии предоставляют возможность для более эффективного подхода. Вместо того чтобы неоднократно требовать от американцев предоставления полных копий их удостоверений личности, системы, сохраняющие конфиденциальность, могли бы позволить пользователям доказывать только то, что необходимо сервису — например, их возраст, право на участие или полномочия над аккаунтом — при этом удерживая исходную информацию под своим контролем.

Эти технологии все еще находятся в стадии разработки, однако федеральные регуляторы должны предоставить учреждениям возможность их тестирования и обновлять существующие требования по мере их совершенствования. Кроме того, по мере появления все большего количества методов, сохраняющих конфиденциальность, Конгресс должен сократить ненужные требования к сбору и хранению информации. Процессы противодействия мошенничеству остаются важными, но могут существовать без постоянного досье, которое преступники могли бы украсть.

Более срочно, Вашингтону и правительствам различных штатов следует прекратить любое законодательство или регулирование, расширяющее требования по идентификации и верификации на области, где они ранее не применялись и не нужны. Давление на внедрение проверки возраста для открытого программного обеспечения и интернета должно прекратиться; это ставит под угрозу обычных американцев и усиливает позиции преступников и иностранных противников, в то время как не обеспечивая защиту детей.

Подобные нарушения можно предотвратить; нам просто нужно этого захотеть. Инструменты для этого начинают появляться, и в случаях, когда нам не нужно кого-либо проверять, мы должны избегать этого. Поскольку лучший способ защитить конфиденциальную личную информацию — вовсе не собирать её.