Thảm họa rò rỉ dữ liệu từ IDScan: Hậu quả khôn lường từ các đạo luật xác minh độ tuổi.

Nếu bạn từng giao nộp giấy phép lái xe, hộ chiếu hoặc các loại giấy tờ tùy thân khác để xác minh thông tin ngoài đời thực, chẳng hạn như tại quán bar, cửa hàng bán cần sa hoặc khi thuê ô tô, rất có thể dữ liệu của bạn hiện đã bị đánh cắp trong một vụ rò rỉ dữ liệu quy mô lớn vừa bị nghi ngờ.

Nguồn ảnh: Ảnh chụp màn hình qua Krebs On Security.

Đó là nội dung từ một báo cáo gây sốc của nhà báo an ninh độc lập Brian Krebs. Ông cho biết một công ty chuyên xác minh các giấy tờ tùy thân do chính phủ cấp trên thực tế nhiều khả năng đã bị tấn công, và kho lưu trữ khổng lồ chứa dữ liệu thẻ căn cước của người dân đã bị tuồn ra ngoài.

Krebs đưa tin rằng một trang web đánh cắp danh tính mang tên Nexus, vừa xuất hiện trên web tối (dark web) tuần này, tuyên bố cho phép người dùng tìm kiếm hơn 150 triệu giấy phép lái xe và hộ chiếu của những người sống tại Mỹ và Canada. Một bài đăng quảng cáo trang web này trên một diễn đàn tội phạm mạng khét tiếng của Nga cho biết Nexus bổ sung khoảng nửa triệu tài liệu mới mỗi ngày. Số dữ liệu này được lấy từ một "công ty xác minh danh tính lớn", ngụ ý rằng tin tặc có quyền truy cập gần như theo thời gian thực vào hệ thống của công ty đó.

Quảng cáo này khẳng định rằng "ảnh của khách hàng sẽ được hiển thị nếu có". Krebs phát hiện ra chính giấy phép lái xe của mình cũng nằm trong số các hồ sơ có thể tìm kiếm được trên cơ sở dữ liệu này, qua đó xác nhận tính xác thực của thông tin bị rò rỉ. Bộ trưởng Quốc phòng Mỹ Pete Hegseth cũng nằm trong số những cá nhân có ảnh xuất hiện trên trang web tìm kiếm danh tính này.

Một người phát ngôn của Bộ Quốc phòng đã chia sẻ với TechCrunch rằng họ "đã nắm được các báo cáo này và đang tiến hành đánh giá".

Phối hợp cùng nhà nghiên cứu bảo mật Zach Edwards, người cũng có thẻ căn cước bị đánh cắp trong vụ việc - Krebs xác định nguồn rò rỉ nhiều khả năng là dịch vụ xác minh danh tính IDScan. Công ty có trụ sở tại Louisiana này hiện đang được các thương hiệu tiêu dùng và công nghệ lớn trên thế giới tin dùng để xác minh danh tính của hàng chục triệu người mỗi tháng.

Giám đốc điều hành IDScan, Jimmy Roussel, đã không phản hồi yêu cầu bình luận từ TechCrunch, nhưng Giám đốc vận hành của công ty, Jillian Kossman, nói với Krebs rằng họ đang tiến hành điều tra. Krebs cho biết văn phòng thực địa của FBI tại New Orleans cũng đang vào cuộc điều tra vụ rò rỉ. Người phát ngôn của FBI đã từ chối trả lời câu hỏi của TechCrunch về sự việc này.

Nexus đã dừng hoạt động không lâu sau khi báo cáo của Krebs được công bố.

Vụ rò rỉ dữ liệu này xảy ra trong bối cảnh các chính phủ đang ngày càng đẩy mạnh việc ban hành các luật xác minh độ tuổi, vốn chủ yếu yêu cầu người trưởng thành phải tải lên các giấy tờ tùy thân nhằm chứng minh họ đủ tuổi để truy cập vào một trang web hoặc ứng dụng. Các chuyên gia bảo mật và những người ủng hộ quyền riêng tư từ lâu đã cảnh báo rằng việc các công ty lưu trữ một lượng lớn giấy tờ tùy thân của người dân trong thời gian dài sẽ đặt khối dữ liệu đó trước nguy cơ bị tin tặc đánh cắp.

Xét trên mọi phương diện, đây có thể là vụ rò rỉ tài liệu nhận dạng cá nhân đơn lẻ lớn nhất từng được ghi nhận trong thời gian gần đây.