- AU10TIX, đơn vị phụ trách xác minh danh tính cho TikTok, Uber và X, đã để lộ thông tin xác thực quản trị trực tuyến trong hơn 1 năm, tạo ra nguy cơ truy cập vào dữ liệu nhạy cảm của người dùng
- Dịch vụ này xử lý dữ liệu xác minh danh tính rủi ro cao như ảnh khuôn mặt, ảnh giấy phép lái xe, liveness detection dựa trên video thời gian thực và ước tính tuổi dựa trên ảnh
- Theo ảnh chụp màn hình và dữ liệu mà 404 Media có được, tin tặc có thể đã truy cập dữ liệu nhạy cảm bằng các thông tin xác thực bị lộ
- Trang web của AU10TIX cũng có logo của Fiverr, PayPal, Coinbase, LinkedIn và Upwork; một số công ty đã xác nhận mối quan hệ khách hàng hiện tại hoặc trước đây
- Khi yêu cầu xác minh danh tính và độ tuổi mở rộng sang các mạng xã hội và trang web khiêu dâm, bản thân nhà cung cấp dịch vụ xác minh có thể trở thành mục tiêu tấn công
Thông tin xác thực quản trị của AU10TIX bị lộ
- AU10TIX có trụ sở tại Israel cung cấp dịch vụ xác minh danh tính người dùng TikTok, Uber và X
- Theo ảnh chụp màn hình và dữ liệu mà 404 Media có được, một phần thông tin xác thực quản trị đã bị lộ trực tuyến trong hơn 1 năm
- Các thông tin xác thực đó có thể đã dẫn đến việc truy cập dữ liệu nhạy cảm như ảnh khuôn mặt và ảnh giấy phép lái xe của người dùng
Dữ liệu được xử lý trong quá trình xác minh danh tính
- Trên trang web của mình, AU10TIX giới thiệu rằng họ cung cấp “full-service identity verification solutions”
- Các hạng mục mà dịch vụ xử lý gồm:
- Xác minh giấy tờ tùy thân của người dùng
- liveness detection thông qua luồng video thời gian thực với người dùng
- xác minh độ tuổi dựa trên ảnh đã tải lên
Các công ty được hiển thị là khách hàng
- Ngoài TikTok, Uber và X, trang web của AU10TIX còn hiển thị logo của nhiều công ty
- Các công ty được hiển thị bao gồm Fiverr, PayPal, Coinbase, LinkedIn, Upwork
- Một số trong đó đã xác nhận với 404 Media rằng họ là khách hàng hiện tại hoặc trước đây của AU10TIX
Phạm vi bằng chứng mà nhà nghiên cứu chia sẻ
- Phát hiện của một nhà nghiên cứu an ninh mạng cho thấy bản thân dịch vụ xác minh ID cũng có thể trở thành mục tiêu bị hack
- Nhà nghiên cứu này đã cung cấp ảnh chụp màn hình và một phần dữ liệu cho 404 Media nhằm mục đích xác minh, và không phân phối dữ liệu theo cách nào khác
Rủi ro do việc mở rộng xác minh danh tính và độ tuổi tạo ra
- Ngày càng nhiều mạng xã hội và trang web khiêu dâm đang chuyển sang mô hình xác minh danh tính hoặc độ tuổi yêu cầu người dùng tải lên giấy tờ tùy thân thật
- Vụ lộ lọt này cho thấy trong xu hướng đó, nhà cung cấp dịch vụ xác minh có thể trở thành điểm tập trung dữ liệu người dùng nhạy cảm
1 bình luận
Các ý kiến trên Hacker News
Công ty tuyên bố đã phát hiện và xử lý vụ lộ thông tin xác thực từ 18 tháng trước, nhưng các thông tin xác thực bị lộ được cho là vẫn hoạt động cho tới tận một tháng trước
Tôi tự hỏi liệu mức độ quản trị và năng lực của các nhà cung cấp trong lĩnh vực này có thật sự thường chỉ đến vậy không. Với một doanh nghiệp khổng lồ, tôi còn có thể hình dung họ bỏ sót một hai chỗ kỳ lạ nơi thông tin xác thực được dùng, nhưng với một nhà cung cấp chỉ làm đúng một việc mà niềm tin là cốt lõi, tôi sẽ kỳ vọng khác đi
Dù năng lực nội bộ thiếu, tôi từng nghĩ một công ty như vậy hẳn phải có bảo hiểm, và công ty bảo hiểm sẽ cử chuyên gia để bảo đảm các biện pháp như thế đã được hoàn tất đúng cách; không biết đó có phải là ảo tưởng của tôi không
Không có lý do gì phải giữ bản sao, và ít nhất họ lẽ ra phải che các phần cốt lõi không phải kiến thức công khai. Thật ngu ngốc
Về lý tưởng, việc công ty bảo hiểm cử chuyên gia để buộc họ khắc phục đúng cách là hợp lý, nhưng thực tế là công ty bảo hiểm có hàng nghìn khách hàng nên không thể đưa ra đảm bảo thực chất nào ngoài kiểm tra tuân thủ cơ bản. Quản lý quyền truy cập và thông tin xác thực là vấn đề khó ngay cả với các đội bảo mật có nhân sự đầy đủ, càng khó hơn nhiều nếu giao cho một kiểm toán viên tuân thủ duy nhất
Tôi đã yêu cầu Uber xóa dữ liệu của mình, nhưng họ cúp máy một cách thô lỗ. Khi tôi đẩy việc này lên tới CEO, họ gửi một tin nhắn giải thích vì sao không thể xóa, và trấn an rằng lo ngại rò rỉ dữ liệu là “không có cơ sở”
Một người tên Maribel từ Uber Support nói rằng họ đã xem xét thêm yêu cầu xóa, nhưng vì các biện pháp bảo mật, họ không thể xóa toàn bộ thông tin trong tài khoản, và hướng dẫn tôi xem mục “E. Data retention and deletion” trong Privacy Notice. Tính đến ngày 12/5/2024, tài khoản được đánh dấu là sẽ bị xóa; việc xóa tài khoản tài xế là vĩnh viễn, tài khoản hành khách cũng sẽ tự động bị xóa và các khoản credit cũng mất
Họ cũng nhấn mạnh rằng nền tảng có các biện pháp bảo mật nghiêm ngặt để bảo vệ thông tin cá nhân và sự an toàn
Thứ nhất, nó ám chỉ rằng họ đặt bảo mật lên hàng đầu, nhưng trên thực tế có khả năng họ chỉ tuân theo các hướng dẫn tối thiểu để tự bảo vệ về mặt pháp lý, nên về cơ bản có thể là nói dối
Thứ hai, việc bảo đảm an ninh dữ liệu là bất khả thi về mặt vật lý. Nó giống như hứa với một đứa trẻ rằng nó sẽ không bao giờ chết. Xâm phạm bảo mật không phải là cánh cửa có thể đóng lại rồi quên đi, mà là vấn đề xác suất. Một xã hội cho phép doanh nghiệp đưa ra bảo đảm tuyệt đối về bảo mật đang tự đặt mình vào nguy hiểm
Sau khi xem phim tài liệu mới về Ashley Madison, điều đọng lại mạnh hơn là họ gần như không nỗ lực cho bảo mật thực sự, lại tạo ra các chứng nhận bảo mật giả, và dù có lựa chọn đóng cửa, họ vẫn mang dữ liệu người dùng ra chơi trò chicken game. Nếu hacker ra tay thì phần thưởng chắc chắn cũng tiêu tan, nên đó là một ví dụ rất rõ về lòng tham mù quáng, và CEO lẽ ra phải chịu trách nhiệm pháp lý đáng kể cho hậu quả đó cũng như các vụ tự sát
Tất nhiên là họ làm rò rỉ dữ liệu. Một kỹ sư giàu kinh nghiệm hẳn đã thấy trước điều này ngay từ đầu
Một ngày nào đó, một luật sư lành nghề có nguyên tắc và hiểu chút kỹ thuật sẽ nổi giận, rồi khiến một trong những công ty kiểu này phải trả giá đúng mức cho sơ suất nghiêm trọng
Sau đó, khi nhìn công ty bị nghiền nát, các công ty khác sẽ cố vận động làm luật để né trách nhiệm, nhưng một số sẽ kết luận rằng bữa tiệc liều lĩnh đã kết thúc và họ cần hành xử có trách nhiệm, có năng lực hơn
Khi tôi nói rằng mình sẽ không hoàn tất đơn đăng ký và yêu cầu xóa thông tin hộ chiếu, ban đầu họ phớt lờ phần yêu cầu xóa. Khi tôi trả lời lại yêu cầu xóa dữ liệu, họ viện dẫn luật KYC và trấn an rằng dữ liệu đương nhiên được lưu trữ an toàn
Đến lúc đó tôi bỏ cuộc. Có thể nếu đấu tranh thì tôi đã xóa được, cũng có thể họ bị trói tay, hoặc vì tôi đấu tranh mà thông tin của tôi bị đánh dấu là rủi ro rửa tiền. Nhưng tôi đã hình dung đúng những vụ rò rỉ như thế này
Nhà cung cấp bị ảnh hưởng có dữ liệu của tôi không chỉ có mỗi họ, và vụ xâm phạm lần này cũng không phải lần đầu, nhưng vụ đó là đau nhất
Như một giai thoại, lần đầu tiên sau vài tháng, tôi đang bị dội bom tin nhắn rác. Chỉ có thể hiểu là ai đó đang rà dữ liệu rò rỉ mới để tìm các số còn hoạt động
Luật có thể đặt ra tiêu chuẩn cẩn trọng và biến những việc như thế này thành sơ suất nghiêm trọng, nhưng hiện vẫn chưa như vậy. Ngay từ đầu cũng không rõ họ có nghĩa vụ cẩn trọng với ai, và nếu không có điều đó thì cũng không thể cấu thành sơ suất. Nếu không muốn tranh cãi vô tận, việc này cũng phải được sửa bằng lập pháp
Tranh luận về tổn thất giả định như giá trị của khả năng thông tin cá nhân có thể bị đánh cắp trong tương lai thì thú vị, nhưng đa số vụ việc xử lý tổn thất thực tế
Khi thực sự quá khó tính toán, nhiều trường hợp chuyển sang mức bồi thường theo luật định, nhưng ở đây điều đó cũng chưa có. Nếu không có nhiều hoạt động lập pháp, sẽ chẳng có gì xảy ra ngoài các vụ kiện tập thể hiện tại và phiếu giảm giá 5 đô la
Vòng lặp diễn kịch bảo mật ở giai đoạn hiện nay là như thế này
Nhìn danh sách khách hàng mà thấy sốc: eToro, Coinbase, Payoneer [1]
Có cách nào kiểm tra liệu thông tin của tôi có bị rò rỉ không? Ảnh bằng lái xe có vẻ nên được coi là thông tin sinh trắc học theo luật của một số bang
[1] https://www.au10tix.com
[2] https://www.huschblackwell.com/2023-state-biometric-privacy-...
Tất cả chuyện này với tôi giống như một cơn ác mộng kiểu Orwell. Tôi cho rằng các dịch vụ như TikTok hay X ngay từ đầu không nên yêu cầu xác minh danh tính
Mớ hỗn loạn lần này chỉ càng nhấn mạnh thêm những lý do khác cho thấy đó là một ý tưởng tồi
Các công ty cũng có động lực để chứng minh số người dùng hoạt động thực là người thật chứ không phải bot
Nếu đang nói về tài xế Uber thì tôi còn hiểu được phần nào. Nhưng nếu là hành khách thì sao? Tôi không dùng Uber nên không rõ
Mặt khác, tôi cũng dần tin rằng có một chủ ý nhằm đẩy mọi người sang dùng xác minh danh tính sinh trắc học như quét mống mắt hay vân tay, vì giấy tờ tùy thân vật lý đã bị rò rỉ quá rộng và lan truyền quá kỹ trong giới tội phạm đến mức không còn là tài liệu đáng tin cậy nữa
Đây có phải là đích đến mà ai đó thật sự muốn đạt tới không?
Chẳng phải X đã chuyển sang Stripe rồi sao? Đã từng có phản ứng dữ dội từ những người tham gia biểu tình liên quan đến Palestine, vì họ lo phải giao giấy tờ tùy thân có địa chỉ nhà, dữ liệu sinh trắc học mà bên kia thừa nhận có thu thập, cùng các thông tin khác cho một công ty có liên hệ trực tiếp với Israel
Tôi không biết cụ thể về công ty này, nhưng tôi biết việc chính phủ gần như đóng vai trò như vườn ươm cho các công ty công nghệ là chuyện phổ biến, nên những lo ngại đó hẳn không phải vô căn cứ
Dù đã chuyển đổi, một số người dùng chắc vẫn đã xác minh trước đó, nên X có lẽ vẫn bị ảnh hưởng. Có thể chính việc người dùng nêu lo ngại suốt một thời gian dài đã tác động đến quyết định nội bộ
Tôi hoàn toàn không biết Uber và TikTok đã dùng họ, biết được cũng tốt. May là đến nay tôi chưa từng đưa dữ liệu sinh trắc học của mình cho họ
Vì sao thông tin định danh sinh trắc học của công dân Mỹ lại được gửi sang Israel? Không có luật nào về việc dữ liệu nhạy cảm như vậy rời khỏi trung tâm dữ liệu của Mỹ sao?
Dữ liệu khách hàng Mỹ, từ số tài khoản, số an sinh xã hội đến các thông tin cá nhân khác, đang được phân tán khắp thế giới
Có thể nó được lưu trữ ở Mỹ, nhưng những người ở các khu vực có chi phí sinh hoạt thấp lại có quyền truy cập
Thỉnh thoảng tôi nghĩ tình huống kiểu này rốt cuộc có vẻ sẽ dẫn đến một chế độ chứng chỉ chuyên môn được pháp luật yêu cầu cho một số công việc nhất định trong phát triển phần mềm
Tất nhiên không phải ai viết code cũng cần có giấy phép phát triển. Nói rằng cần giấy phép để viết blog hay dựng một trang web đùa về trái cây thì thật vô lý. Nhưng nếu doanh nghiệp xử lý thông tin định danh cá nhân thì cần kỹ thuật thực sự, và những người làm công việc kỹ thuật đó cũng phải được chứng nhận
Điều này giống với cách giấy phép kỹ sư bắt đầu. Ít nhất ở Mỹ, nguyên nhân là Wyoming đã chán ngấy việc những người không biết mình đang làm gì lại đi xây hạ tầng cấp nước
Giấy phép cũng có thể trao cho từng kỹ sư một đòn bẩy trước các quản lý hoặc ban lãnh đạo cấp cao theo kiểu “di chuyển nhanh và phá vỡ mọi thứ”. Khi ở trong một nhóm nghề chuyên môn có quyền phê duyệt độc quyền, sẽ dễ nói hơn rằng “Việc này phải làm cho đúng. Nếu không, vì tôi là người chịu trách nhiệm, xin hãy tránh ra”
Nếu công ty nói “Được thôi, anh bị sa thải” rồi vẫn cưỡng ép quản lý thông tin định danh cá nhân, và một vụ rò rỉ như thế này xảy ra, trách nhiệm của công ty sẽ lớn hơn nhiều. Nhìn chung, cơ chế này vận hành theo hướng tăng sức thương lượng để những lao động có tay nghề, biết cách quản lý cơ sở dữ liệu thông tin định danh cá nhân hoặc cấu hình endpoint, có thể làm việc đúng cách
Chế độ giấy phép cũng có nhiều cạm bẫy, nhưng tôi tò mò liệu trong vài năm tới có xuất hiện xu hướng như vậy không
Một thống kê đáng ngạc nhiên là khoảng một nửa số nghề nghiệp yêu cầu giấy phép hành nghề. Ở một số nơi, muốn làm người bán hoa cũng cần giấy phép. Tại vài bang, nhà thiết kế nội thất hay nhân viên trạm xăng cũng cần được cấp phép. Kỹ thuật phần mềm là một ngoại lệ hoàn toàn trong số các nghề thu nhập cao
Tôi không nghĩ điều này là đúng, nhưng đó là thế giới chúng ta đang sống và không nên tự lừa dối mình. Nhiều kỹ sư phần mềm nói rằng họ muốn những quy định chính xác và hữu ích, nhưng quy định sẽ ập đến nguyên khối, và cả website đùa về trái cây cũng sẽ không được ngoại lệ
Với kỹ sư thì cùng lắm chỉ có đào tạo đặc biệt hoặc công nhận bằng cấp. Chính phủ không làm được nhiều hơn thế
Và không giấy phép nào trao cho bạn đòn bẩy trước ban lãnh đạo cấp cao cả
Có những giải pháp xác minh danh tính mà không cần bao gồm bản quét tài liệu thật. Có thể một ngày nào đó Mỹ cũng sẽ có thẻ thông minh