Czy firmy technologiczne narażają użytkowników na ryzyko kradzieży tożsamości?

Po niedawnym posunięciu Apple, aby umożliwić użytkownikom iPhone'a przechowywanie ich identyfikatora na telefonie z iOS 15, eksperci ostrzegali, że praktyka może być niebezpieczne— ale co z rosnącym trendem, w którym firmy technologiczne proszą użytkowników o podanie identyfikatora w celu zweryfikowania ich wieku lub tożsamości?

Eksperci twierdzą, że to też może być ryzykowne.

We wrześniu ubiegłego roku YouTube stał się najnowszą z wielu platform, które teraz proszą użytkowników o przesłanie dokumentów tożsamości do weryfikacji. Chociaż firma

wyjaśnione w poście na blogu że nowa polityka była zgodna z nadchodzącymi przepisami europejskimi i specyfiką kraju dla firmy macierzystej Google zasady wieku, inne firmy, takie jak Facebook, Instagram i LinkedIn, od lat egzekwują podobne zasady weryfikacji tożsamości.

„Im więcej dokumentów i przedmiotów dostarczysz dowolnej organizacji, zawsze istnieje ryzyko” Jakub E. Zawietrzny, dyrektor ds. operacyjnych w Centrum zasobów dotyczących kradzieży tożsamości, powiedział Lifewire w rozmowie telefonicznej.

Zrozumienie ryzyka

Według Lee zasady weryfikacji tożsamości, takie jak te stosowane przez LinkedIn, Facebook, Instagram, a inne wynikają z niedawnego przejścia z anonimowości na wymagania dotyczące „prawdziwego nazwiska” dla użytkowników serwisów społecznościowych.

„Z perspektywy prywatności, jeśli pozwoliłeś na anonimowość, nie było ryzyka naruszenia prywatności ani problemu z cyberbezpieczeństwem” – powiedział Lee. „Nie wiązało się to z takim samym poziomem ryzyka dla poszczególnych osób. Dlatego w szczególności większość mediów społecznościowych zaczęła od idei anonimowości”.

Ta anonimowość miała jednak drugą stronę i z biegiem czasu firmy zaczęły dostrzegać potencjalne zagrożenia bezpieczeństwa wynikające z braku wiedzy, z kim wchodzisz w interakcję po drugiej stronie ekranu.

„Kiedy [te problemy] zaczęły się pojawiać po raz pierwszy, dotyczyły one bezpieczeństwa publicznego. Nie zdawałeś sobie sprawy, z kim masz do czynienia po drugiej stronie...” powiedział Lee. „Więc wtedy zacząłeś widzieć organizacje mówiące: „W porządku, musisz podać nam swoje prawdziwe imię”.

Aby złagodzić ryzyko związane z anonimowością, niektóre firmy zaczęły wdrażać zasady „prawdziwego nazwiska”, które, jak na ironię, same w sobie nie były pozbawione kontrowersji.

W 2014 roku dyrektor ds. produktów na Facebooku Chris Cox opublikował przeprosiny za nieoczekiwaną blokadę kont członków społeczności drag i LGBTQ ze względu na politykę firmy.

Zauważył: „Sposób, w jaki to się stało, zaskoczył nas. Osoba na Facebooku zdecydowała się zgłosić kilkaset takich kont jako fałszywe”, wyjaśniając, że dziesięcioletnia polityka nadal służyła do ochrony użytkowników przed fałszywymi kontami.

Chociaż większość sieci społecznościowych początkowo prosiła użytkowników o zweryfikowanie swojej tożsamości w bardziej nieszkodliwy sposób, na przykład potwierdzając swój adres e-mail lub numer telefonu, z czasem wiele z nich zostało rozszerzonych, aby wymagać dowodu tożsamości wydanego przez rząd lub innego podobnie wrażliwe dokumenty.

„Teraz dochodzimy do punktu, w którym faktycznie zbieramy dane uwierzytelniające” – powiedział Lee. „I właśnie tam wracamy pełnym okręgiem do miejsca, w którym pojawia się problem — przynajmniej istnieje ryzyko wystąpienia problemu”.

Pytania bezpieczeństwa

Chociaż weryfikacja, czy użytkownicy mediów społecznościowych są prawdziwymi ludźmi, jest ogólnie dobrą rzeczą, ryzyko kradzieży tożsamości jest nieuniknione, gdy firmy zbierają identyfikatory użytkowników w celu potwierdzenia ich tożsamości.

„Dobrze jest sprawdzić, czy dana osoba jest tym, za kogo się podaje, w dowolnym środowisku mediów społecznościowych. Rozwiązuje wiele bolączek...” powiedział Lee. „Ale uważamy, że przekraczasz granicę, kiedy zaczynasz zbierać dane uwierzytelniające”.

Jednym z bardziej oczywistych zagrożeń związanych z gromadzeniem dokumentów identyfikujących jest ryzyko naruszenia danych — pozornie niekończące się zjawisko, które spowodowało dramatyczny wzrost w liczbie rekordów ujawnionych w ubiegłym roku.

Te zagrożenia nie są bezprecedensowe. W 2016 r. Uber doświadczył naruszenia danych, które spowodowało hakerów dostęp do około 600 000 praw jazdy, zgodnie z wpisem na firmowym blogu.

Lifewire skontaktowało się z Google, YouTube, Facebook, Instagram i LinkedIn, aby dowiedzieć się, w jaki sposób dokumenty tożsamości użytkowników są wykorzystywane i utrzymywane, ale nie otrzymaliśmy jeszcze odpowiedzi.

Problemy z zaufaniem

Chociaż zasady weryfikacji tożsamości większości firm obiecują usunięcie identyfikatorów użytkowników w określonym czasie, te obietnice opierają się na zaufaniu.

„Jako osoba przesyłająca dane nie wiesz. Nie otrzymujesz powiadomienia za każdym razem, gdy jest udostępniane. Nie dostajesz powiadomienia, kiedy teoretycznie zostanie zniszczony” – powiedział Lee. „A ponieważ nie wiesz, komu została udostępniona, nie wiesz, jaka jest ich polityka”.

Z tego powodu Lee radzi użytkownikom, aby dokładnie rozważyli potencjalne konsekwencje podania swojego identyfikatora firmom online.

„Jeśli dasz komuś swoje prawo jazdy, czy czujesz się komfortowo, jeśli straci nad nim kontrolę? Twój pierwszy instynkt jest zwykle najlepszym instynktem – powiedział Lee.