Aproape un milion de pașapoarte, permise de conducere și alte acte de identitate au fost lăsate accesibile oricui pe internet, fără parolă și fără vreo formă de control al accesului, potrivit unei investigații publicate de The Verge.
Jurnalistul publicației americane relatează că a reușit să ajungă la documentele de identitate ale unor persoane complet străine tastând doar câteva litere și cifre în bara de adrese a browserului. Printre actele expuse se numărau, conform descrierii sale, pașaportul unei tinere din Germania, pașaportul unui bărbat din Spania și ambele fețe ale permisului de conducere al altui bărbat. Toate erau găzduite la adrese web publice, accesibile prin simpla cunoaștere a linkului.
Documente accesibile prin simplul link
Esența problemei descrise de The Verge este absența oricărui mecanism de protecție. Fișierele nu erau parolate și nu cereau autentificare, astfel încât orice persoană care primea sau ghicea o adresă web putea vizualiza documentul scanat al altcuiva. Practic, un link transmis prin mesaj ar fi fost suficient pentru ca un terț să deschidă pașaportul sau actul de identitate al unei persoane reale.
Potrivit investigației, documentele ar fi fost legate de sisteme de gestionare folosite de cluburi de canabis, identificate în material sub denumirile Nefos și PuffPal. Astfel de platforme colectează adesea acte de identitate pentru a verifica vârsta sau apartenența la club, ceea ce explică volumul mare de scanări concentrate într-un singur loc.
Riscul de furt de identitate
Expunerea unor documente oficiale ridică un risc direct de furt de identitate. Datele dintr-un pașaport sau permis de conducere pot fi folosite pentru deschiderea de conturi frauduloase, pentru tentative de phishing țintit sau pentru revânzarea pe piețe ilegale.
Una dintre sursele citate de The Verge, Sammy Azdoufal, a avertizat asupra urgenței situației. „Trebuie să facem ceva în privința asta cât mai repede posibil, pentru că oamenii vor găsi datele și le vor revinde. Vor produce pagube", a spus acesta, citat de publicație.
Spre deosebire de o parolă, care poate fi schimbată după o scurgere, datele dintr-un act de identitate sunt permanente. Numărul de pașaport, data nașterii sau fotografia rămân aceleași, ceea ce înseamnă că expunerea lor poate avea consecințe pe termen lung pentru persoanele afectate.
Ce arată cazul despre securitatea datelor
Incidentul ilustrează o problemă recurentă în arhitectura serviciilor online: stocarea documentelor sensibile pe servere accesibile public, fără un strat suplimentar de autentificare. Atunci când fișierele sunt salvate la adrese previzibile sau enumerabile, lipsa controlului de acces transformă o bază de date privată într-o resursă deschisă.
Pentru companiile care colectează acte de identitate, recomandările generale de securitate includ criptarea datelor, restricționarea accesului prin autentificare și limitarea perioadei în care documentele scanate rămân stocate. Aceste măsuri reduc atât probabilitatea unei expuneri accidentale, cât și amploarea unei eventuale breșe.
Ce pot face persoanele potențial afectate
Utilizatorii care au încărcat acte de identitate către servicii online au la dispoziție câteva măsuri de precauție. Pot solicita operatorilor informații despre modul în care le sunt stocate documentele și pot cere ștergerea datelor care nu mai sunt necesare. În spațiul european, regulile privind protecția datelor personale oferă persoanelor dreptul de a fi informate și de a sesiza autoritatea competentă în caz de breșă.
Atenția la mesajele neașteptate care invocă date personale rămâne, de asemenea, importantă, întrucât informațiile scurse sunt adesea folosite pentru a face tentativele de fraudă mai credibile. Verificarea periodică a conturilor și a activității financiare ajută la identificarea rapidă a unei utilizări abuzive.
Cazul documentat de The Verge readuce în prim-plan o întrebare practică pentru oricine trimite o copie a buletinului sau a pașaportului către un serviciu online: cât timp rămâne acel document stocat și cine îl poate accesa. Răspunsul la această întrebare ar trebui să fie un criteriu de selecție înainte de a încărca acte sensibile pe orice platformă.
