Un'indagine dell'FBI è in corso per un presunto furto di dati che potrebbe aver compromesso le informazioni di fino a 170 milioni di nordamericani. Al centro dell'attenzione il servizio Nexus, che offriva scansioni di documenti d'identità, e la società di verifica dell'identità IDScan.net.
Le autorità federali statunitensi, attraverso l'FBI, stanno conducendo un'indagine su un potenziale furto di dati di proporzioni allarmanti, che potrebbe aver esposto le informazioni personali di un numero considerevole di cittadini nordamericani, stimato tra i 153 e i 170 milioni.
La vicenda è emersa grazie a un'inchiesta del giornalista investigativo Brian Krebs, il quale ha portato alla luce l'esistenza del servizio "Nexus". Questo operava all'interno del forum di cybercrimine russo Exploit, offrendo ai propri utenti l'accesso a scansioni digitali di documenti d'identità. Secondo quanto dichiarato dagli stessi operatori di Nexus, il vasto archivio conteneva oltre 153 milioni di patenti di guida, principalmente di cittadini statunitensi ma anche canadesi, oltre a carte d'identità, documenti di viaggio e tessere mediche.
Gli autori di Nexus avrebbero affermato che la fonte di questi dati provenisse da una violazione attiva presso un'importante azienda specializzata nella verifica dell'identità. Sebbene il servizio Nexus sia diventato inaccessibile poco dopo la pubblicazione dell'articolo di Krebs, le indagini successive sono riuscite a collegare i movimenti e le attività di alcune vittime identificate con la società IDScan.net, con sede a New Orleans. Questa azienda opera proprio nel settore della verifica dell'identità.
Le implicazioni di un furto di dati di questa portata sono significative. Come sottolineato da Seemant Sehgal, fondatore e CEO di BreachLock, una patente di guida contiene informazioni cruciali come data di nascita, indirizzo, caratteristiche fisiche e un numero di identificazione governativo. Questi dati sono spesso sufficienti per superare i controlli di verifica dell'identità utilizzati dalla maggior parte delle istituzioni finanziarie e agenzie governative.
A differenza di una password compromessa, che può essere cambiata, i dati presenti in un documento d'identità non possono essere modificati. Ciò significa che ogni individuo i cui dati sono stati rubati continuerà a portare con sé questa esposizione per tutta la vita. Sehgal suggerisce che potrebbe essere necessario elevare gli standard di sicurezza per i processi di verifica dell'identità.
Denis Calderone, CTO di Suzu Labs, ha evidenziato la necessità per le aziende che si affidano a fornitori esterni per la verifica dell'identità di porre domande più stringenti. Tra queste, la durata della conservazione delle scansioni dopo la verifica, l'esistenza di obblighi contrattuali di minimizzazione dei dati e la possibilità di effettuare audit sui fornitori.
Attualmente, non esiste un meccanismo di protezione paragonabile al blocco del credito per segnalare la compromissione di un numero di patente. Calderone ribadisce che ogni organizzazione che raccoglie e centralizza documenti d'identità governativi deve trattare questi archivi di dati con un livello di sicurezza elevato, almeno pari a quello dedicato ai dati delle carte di pagamento, se non superiore. Ottenere un nuovo numero di carta di credito è relativamente semplice, ma non è possibile cambiare la propria identità fisica.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
