Firmy korzystają z tożsamościsprawdza codziennie w celu potwierdzeniakim są ich klienci. Wielu z nich ufa firmom zewnętrznym, które podejmą się tego zadania. Jedną z takich firm jest Onfido, które jest obecnie częścią Entrust. Obecnie doniesienia o nieautoryzowanym dostępie z udziałem Onfido wzbudziły nowe obawy dotyczące sposobu, w jaki firmy chronią wrażliwe dane klientów.
Na razie do wiadomości publicznej wyciekło tylko kilka szczegółów. Z raportów online wynika, że ktoś mógł uzyskać dostęp do dokumentów tożsamości i selfie przesłanych przez klientów podczas kontroli tożsamości. Z raportów wynika również, że francuska firma fintechowa Spiko poinformowała niektórych dotkniętych użytkowników około dziesięć miesięcy po odkryciu incydentu.
W chwili pisania tego tekstu ani Entrust, ani Spiko nie udostępniły szczegółowych informacji publicznych wyjaśniających dokładnie, co się stało i ilu osób mogło to dotyczyć. W rezultacie wiele pytań pozostaje bez odpowiedzi. Mimo to eksperci ds. cyberbezpieczeństwa i prywatności twierdzą, że ten przypadek uwydatnia znacznie szerszy problem, który wykracza poza jedną firmę.
Firmy przechowują niektóre z najbardziej wrażliwych informacji ludzi
Dostawcy usług weryfikacji tożsamości odgrywają ważną rolę w dzisiejszym świecie online. Banki, giełdy kryptowalut, firmy fintech, sklepy internetowe i wiele innych firm korzystają z tych firm w celu potwierdzenia tożsamości klientów. Aby dokończyć tę weryfikację, klienci często przesyłają paszporty, krajowe dowody osobiste, prawa jazdy, dokumenty potwierdzające adres i selfie z twarzą.
Oznacza to, że dostawcy ci przechowują ogromne zbiory bardzo wrażliwych danych osobowych. To czyni je również atrakcyjnymi celami dla cyberprzestępców. W przeciwieństwie do haseł ludzie nie mogą po prostu zastąpić twarzy ani wielu dokumentów tożsamości wydanych przez rząd po ich ujawnieniu. Skradzione zdjęcie paszportowe lub selfie z weryfikacją twarzy może pozostać przydatne dla przestępców przez wiele lat.
Jest to jeden z powodów, dla których eksperci ds. prywatności w dalszym ciągu ostrzegają przed ochroną danych osobowych. Zgłoszony incydent miał miejsce w czasie, gdy firma Entrust kontynuowała dodawanie Onfido do swojej działalności po przejęciu firmy weryfikującej tożsamość na początku tego roku.
Entrust rozszerzył swoje usługi w zakresie bezpieczeństwa tożsamości, łącząc technologię Onfido z własnymi produktami. Chociaż śledczy nie potwierdzili wielu szczegółów zgłoszonego incydentu, sprawa ponownie wywołała publiczną dyskusję na temat sposobu, w jaki dostawcy usług weryfikujących tożsamość chronią dane klientów.
Eksperci ds. prywatności w dalszym ciągu ostrzegają przed scentralizowanymi systemami KYC
Zgłoszony incydent ma również miejsce w momencie, gdy coraz więcej firm i rządów rozszerza kontrolę tożsamości cyfrowej. Wiele usług finansowych, platform internetowych i systemów weryfikacji wieku polega obecnie na zewnętrznych dostawcach w celu weryfikacji klientów. Zwolennicy prywatności od lat wyrażają obawy dotyczące tego podejścia.
Mówią, że umieszczenie milionów rekordów tożsamości w niewielkiej liczbie firm tworzy cenne cele dla atakujących. Nawet jeśli firmy stosują silne środki bezpieczeństwa, przechowywanie tak dużej ilości informacji w jednym miejscu zwiększa możliwy wpływ incydentu.
Debata na temat prywatności cyfrowej ma charakter globalny.Chiny zaostrzają kontrolę dostępu do Internetu, w tym zwalczanie nieautoryzowanego korzystania z VPN.
Pojedyncze zdarzenie bezpieczeństwa może ujawnić informacje należące do wielu osób jednocześnie. Firma Entrust omówiła również ten rosnący problem w swoim raporcie dotyczącym oszustw związanych z tożsamością za rok 2026.
Według Entrust ataki na tożsamość z roku na rok stają się coraz bardziej zaawansowane. Firma twierdzi, że przestępcy wykorzystują obecnie więcej deepfake’ów generowanych przez sztuczną inteligencję, prób oszustw biometrycznych i innych ataków opartych na tożsamości. W firmie Trust wierzymy, że organizacje nie powinny polegać tylko na jednej kontroli tożsamości. Zamiast tego firma twierdzi, że firmy powinny chronić tożsamość klientów przez cały czas trwania relacji.
Zgłoszony incydent Onfido odzwierciedla również szerszą tendencję w branży weryfikacji tożsamości. Kilku dostawców ujawniło w ostatnich latach incydenty związane z bezpieczeństwem lub przypadki narażenia danych.
Wydarzenia te doprowadziły do zwrócenia większej uwagi na sposób, w jaki dostawcy KYC gromadzą, przechowują i chronią informacje o klientach. Badacze nadal ostrzegają, że firmy weryfikujące tożsamość zarządzają niektórymi z najbardziej wrażliwych informacji w cyfrowym świecie.
Większość tych dostawców przechowuje wydane przez rząd dokumenty tożsamości wraz z informacjami biometrycznymi, dzięki czemu ich bazy danych są szczególnie cenne, jeśli atakujący kiedykolwiek uzyskają do nich dostęp.
Wiele pytań wciąż pozostaje bez odpowiedzi
Wiele faktów na temat zgłoszonego incydentu z Onfido pozostaje nieznanych. Urzędnicy nie potwierdzili całkowitej liczby dotkniętych użytkowników. Nie potwierdzili również dokładnie, do jakich informacji ktoś mógł uzyskać dostęp. Dopóki więcej szczegółów nie zostanie upublicznionych, firmy zależne od zewnętrznych dostawców weryfikacji tożsamości prawdopodobnie będą miały więcej pytań od klientów.
Ludzie mogą chcieć wiedzieć, jak długo firmy przechowują dokumentację tożsamości. Mogą również zapytać, jak szybko firmy reagują po wykryciu incydentu bezpieczeństwa. Inną ważną kwestią jest to, w jaki sposób firmy otwarcie dzielą się informacjami z użytkownikami, których to dotyczy. Zgłoszony incydent wznowił także debatę na temat ryzyka przechowywania dużych ilości danych KYC u zewnętrznych dostawców.
W miarę jak rządy i firmy prywatne w dalszym ciągu rozszerzają wymagania dotyczące tożsamości cyfrowej, ochrona tych informacji staje się jeszcze ważniejsza. Sprawdzenie tożsamości danej osoby to tylko jedna część pracy.
Firmy muszą także chronić paszporty, dowody osobiste, selfie i inne dane osobowe po ich odebraniu. Na razie zgłoszony incydent z Onfido jest analizowany i wiele ważnych szczegółów nie zostało jeszcze potwierdzonych.
Dopóki nie będzie dostępnych więcej informacji, sprawa w dalszym ciągu przypomina przedsiębiorstwom, że gromadzenie danych osobowych wiąże się również z odpowiedzialnością za ich bezpieczeństwo.