153 milijuna vozačkih dozvola na prodaju

Sto pedeset tri milijuna vozačkih dozvola. To nije broj stanovnika Rusije, iako zvuči kao demografska katastrofa — to je količina digitalnih skenova lica, adresa i datuma rođenja koju je netko stavio na crno tržište ovaj tjedan, kao da prodaje kolekciju maraka, a ne ključeve identiteta svakog trećeg Amerikanca. I dok FBI u New Orleansu otvara istragu, a kompanija za verifikaciju identiteta iz Louisiane vjerojatno unajmljuje odvjetnike brzinom kojom njihovi serveri propuštaju podatke, meni se nameće jedno pitanje koje nitko ne postavlja: zašto smo uopće izgradili sustav u kojem jedan komad plastike s tvojom slikom vrijedi više od tvoje bankovne kartice, lozinke i otiska prsta zajedno?

Nije drago. Nije slučajno. Nije greška.

Cijela industrija verifikacije identiteta izgrađena je na principu koji bi svaki normalan čovjek nazvao apsurdom: skupljamo najosjetljivije podatke koje posjeduješ — lice, adresu, datum rođenja, broj dokumenta — pohranjujemo ih na centralizirane servere, i onda se čudimo kad netko s boljim alatima od prosječnog hakera prošeta kroz vrata koja smo sami ostavili otvorena. Kompanije poput one iz Louisiane zarađuju milijarde na povjerenju koje si im dao jer ti je trebala potvrda identiteta za otvaranje bankovnog računa ili najam stana. A sad se ispostavlja da je to povjerenje vrijedilo otprilike koliko i ona izjava o privatnosti koju si prihvatio bez čitanja — ništa.

Da budemo pošteni, ovo nije prvi put da netko proda bazu podataka. Nije ni stoti. Ali postoji nešto posebno ironično u tome što su žrtve ovog puta ljudi koji su napravili točno ono što im je rečeno: predali su svoje podatke "pouzdanoj" kompaniji jer su im trebale usluge koje bez tih podataka ne mogu dobiti. Nisi imao izbora. Banka ti neće otvoriti račun bez osobne iskaznice. Poslodavac neće provjeriti tvoju prošlost bez vozačke dozvole. Aplikacija za dijeljenje vožnje neće te voziti ako ne dokažeš da si ti — ti. I tako si, u pokušaju da dokažeš da nisi prevarant, postao upravo to: roba na crnom tržištu.

Sjećam se devedesetih, kad smo postavljali prve servere za Kvarner Net i ljudi su nas pitali zašto tražimo toliko podataka za jednu email adresu. Činilo se pretjerano, birokratski, čak pomalo i opasno. A danas? Danas ljudi dobrovoljno šalju sken svoje putovnice nepoznatoj aplikaciji za posudbu novca jer im je trebalo tristo eura do plaće. I nitko ne trepne. Nitko ne pita kamo ti podatci idu, tko ih čuva i što se događa kad kompanija koja ih prikuplja — koja ih je prikupljala uz tvoju "informiranu suglasnost" — doživi propast, promjenu vlasništva ili običnu ljudsku glupost zaposlenika koji klikne na krivi link u phishing emailu.

Ako je industrija verifikacije identiteta toliko sigurna, zašto su podatci 153 milijuna ljudi završili na prodaju za manje od cijene jednog stana u Splitu? Možda zato što sigurnost nije bila prioritet. Možda zato što je prioritet bio rast, tržišni udio, zadovoljstvo investitora koji žele vidjeti brojke kako rastu, a ne troškove sigurnosnih infrastruktura koje ne generiraju prihod. Možda zato što je lakše prodati priču o tome kako "štitimo tvoje podatke" nego zapravo ih zaštititi. I znajte što? To nije problem jedne kompanije iz Louisiane. To je problem cijele industrije koja je izgrađena na povjerenju, a upravljana je kao da je povjerenje beskonačan resurs koji se nikad ne troši.

Ali evo što je najgore od svega: ovo neće ništa promijeniti. Neće promijeniti ponašanje kompanija koje i dalje prikupljaju podatke jer im to donosi novac. Neće promijeniti ponašanje korisnika koji i dalje predaju svoje podatke jer nemaju izbora. I neće promijeniti regulatorni okvir koji je uvijek korak iza stvarnosti, uvijek reaktivan, uvijek u procesu "razmatranja mjera" dok se sljedeća baza podataka prodaje na dark webu. I tako ćemo nastaviti živjeti u svijetu u kojem je tvoj identitet vrijedniji na crnom tržištu nego u tvom vlastitom džepu. I tako ćemo nastaviti predavati svoje lice, adresu i datum rođenja svakome tko traži, jer nam je lakše vjerovati nego se boriti.

A ako mislite da je ovo problem samo Amerikanaca, jer su oni ti koji imaju vozačke dozvole i koriste te čudne aplikacije za verifikaciju — razmislite ponovno. Ista ta kompanija iz Louisiane posluje globalno. Iste te baze podataka sadrže podatke ljudi iz cijelog svijeta, uključujući Hrvate koji su koristili usluge međunarodnih platformi za iznajmljivanje automobila, rezervaciju stanova ili otvaranje računa u stranim bankama. Tvoja je vozačka dozvola možda već tamo, u toj bazi, čeka nekoga tko će je kupiti za par dolara i iskoristiti da otvori kreditnu liniju na tvoje ime. Ne, hvala lijepa, ne trebam taj oblik globalizacije.

Izvor: krebsonsecurity.com