La verificación de identidad es un chiste caro
Resulta que una empresa llamada IDScan.net, con base en Louisiana, llevaba más de un año filtrando en tiempo real cada carnet de identidad que escaneaba. No fue un ataque de un dÃa, no fue un dump viejo que alguien encontró. Los hackers tenÃan un feed en vivo. Cada vez que alguien entregaba su licencia de conducir en un Hertz, un dispensario de cannabis, un FedEx o un Target, esa imagen iba directo a la dark web. 153 millones de registros. Y subiendo.
Brian Krebs publicó la investigación esta semana. El servicio que vende estos datos se llama Nexus y está disponible en Exploit, un foro criminal. Cada licencia cuesta $100. La del Secretario de Defensa de Estados Unidos estaba ahÃ, a la venta, como cualquier otra. El dÃa que Krebs publicó su artÃculo, Nexus agregó 400.000 registros nuevos. O sea, mientras la empresa se enteraba del problema, los hackers seguÃan succionando datos.
Compliance, certificaciones y cero detección
Lo que más me impacta no es el breach en sÃ. Breaches pasan todo el tiempo. Lo que me impacta es que IDScan.net tenÃa una página de «Trust Center» hablando de GDPR, CCPA, de cómo manejan datos sensibles responsablemente. TenÃa todas las certificaciones. Estaba en compliance con todo. Y mientras tanto, cada carnet que pasaba por su sistema se estaba exfiltrando en tiempo real. Durante un año. Y nadie adentro de la empresa notó nada.
Si esto no te hace cuestionar el modelo completo de verificación de identidad, no sé qué te va a hacer.
El problema de fondo
Acá va mi opinión: no existe verificación de identidad segura. Punto. Cada vez que creas un sistema que recolecta y almacena documentos de identidad, estás creando un objetivo. No importa cuántas certificaciones tengas, no importa cuánto compliance acumules. Si los datos existen en un servidor, eventualmente alguien va a entrar.
Y los legisladores siguen pushando leyes de «verificación de edad» online — KOSA, leyes estatales en EE.UU., regulaciones similares en otros lados — como si el problema fuera trivial. La misma empresa que filtró 153 millones de carnés estaba promoviendo activamente estas leyes, escribiendo artÃculos a favor de KOSA, posicionándose como parte de la solución. La empresa que estaba siendo robada en tiempo real se vendÃa como experta en seguridad.
El impacto real
Un investigador de seguridad llamado Larry Baldwin le dijo a Krebs algo que se me quedó pegado: las licencias de conducir se usan como prueba de identidad para abrir lÃneas de crédito. Pero también pueden exponer a personas que no quieren ser encontradas. VÃctimas de violencia doméstica. Personas en programas de protección de testigos del gobierno federal. Gente que recibió una identidad completamente nueva para empezar de cero. Todo eso, disponible por $100 en un foro criminal.
Piensalo asÃ: si eres de los que entrega tu carnet sin pensar cuando te lo piden en un local, tus datos están en algún servidor de una empresa que probablemente no puede protegerlos. No es hipotético. Ya pasó. Y va a seguir pasando mientras el modelo sea «recolectar todo y prometer que está seguro».
Qué sacamos en claro
Como ingeniero de sistemas y alguien que trabaja en ciberseguridad, esto me confirma algo que vengo diciendo hace rato: el compliance no es seguridad. Puedes tener todos los badges del mundo, todas las auditorÃas, todas las certificaciones. Si tu arquitectura permite que alguien exfiltre datos por un año sin que nadie note, tu seguridad es teatro.
La detección temprana es lo que importa. Monitoreo de tráfico saliente. Alertas de exfiltración anormal. Detección de comportamiento inusual en el pipeline de datos. No banners de «Trust Center» que dicen que eres responsable.
Y como usuario: minimiza lo que entregas. Si un sitio te pide escanear tu carnet, pregúntate si realmente lo necesitan. Porque como vimos esta semana, esa imagen puede terminar a la venta antes de que te llegue el correo de confirmación.
Fuente de inspiración: Hackers Had A Live Feed Of Every ID This Verification Company Scanned. For Over A Year.
