Le autorità canadesi sulla privacy hanno aperto un’indagine su IDScan.net a seguito di una grave violazione della sicurezza che ha coinvolto copie digitali di patente di guida e altri documenti d’identità rilasciati dal governo.
L’Ufficio del Commissario per la Privacy del Canada sta esaminando se la società di verifica dell’identità avesse adeguate garanzie di sicurezza prima che gli attaccanti accedessero alle informazioni archiviate nel suo ambiente cloud. L’indagine determinerà anche se IDScan.net notificato correttamente le persone colpite come richiesto dalla legge federale canadese sulla privacy del settore privato.
IDScan.net fornisce tecnologie che le aziende utilizzano per verificare l’identificazione rilasciata dal governo. I suoi servizi sono utilizzati in settori come l’ospitalità e la vita notturna, il che significa che l’azienda può gestire informazioni particolarmente sensibili raccolte quando i clienti dimostrano la loro identità.
L’incidente ha attirato l’attenzione dopo che un marketplace del dark web chiamato Nexus è stato segnalato come offrendo accesso a una vasta collezione di documenti d’identità provenienti dagli Stati Uniti e dal Canada. Il marketplace affermava di possedere circa 153 milioni di documenti di patente di guida, insieme a milioni di altri documenti d’identità.
Questa cifra non è stata confermata né da IDScan.net né dalle autorità canadesi come numero di persone coinvolte dalla violazione dell’azienda. I rapporti sul mercato indicano anche che circa 1,1 milioni di ricerche corrispondevano alle patenti di guida canadesi, ma il numero preciso di vittime canadesi rimane sconosciuto.
IDScan.net rese pubblica l’incidente di sicurezza il 4 settembre dopo aver ricevuto informazioni intorno al 1° settembre che indicavano che i dati potevano essere stati consultati senza autorizzazione. L’azienda ha successivamente stabilito che una terza parte non autorizzata potrebbe aver acceduto o copiato le informazioni dei clienti memorizzate negli account sul cloud IDScan.net.
Le informazioni potenzialmente compromesse includono nomi completi e numeri di patente di guida o altri numeri di identificazione rilasciati dal governo. La più ampia collezione pubblicizzata online conteneva immagini digitali di documenti d’identità, anche se le autorità non hanno ancora stabilito pubblicamente l’esatto completo delle informazioni tratte da IDScan.net.
L’azienda afferma di aver avvisato le persone potenzialmente coinvolte e di aver offerto servizi gratuiti di monitoraggio del credito e protezione dell’identità. L’FBI ha anche riconosciuto di aver esaminato le segnalazioni relative ai documenti d’identità rubati.
L’indagine canadese si concentrerà ora sulle misure di sicurezza di IDScan.net e sulla sua risposta all’incidente ai sensi del Personal Information Protection and Electronic Documents Act. Il commissario per la privacy non ha fornito una tempistica per il completamento dell’indagine, citando la natura attiva del caso.