Викрадені номери соціального страхування американців (Social Security Number, SSN) продають у даркнеті за $2. При гуртових закупівлях ціна падає нижче $1 за запис, хоча наслідки такого витоку для власника даних можуть тривати роками.
Про це свідчить дослідження Coveron, аналітики якого вивчили оголошення на даркнет-майданчиках і в закритих каналах обміну повідомленнями, щоб з'ясувати, скільки коштують викрадені персональні дані та як їх застосовують для фінансового шахрайства.
За останні два роки дослідники виявили 5 885 оголошень із пропозиціями придбати пакети даних, що містять SSN. Один запис коштує до $2, а покупці партій від 100 номерів можуть отримати їх менш ніж за $1 за одиницю. Навіть така невелика сума може дати шахраям доступ до інформації, необхідної для відкриття рахунків на чуже ім'я, подання фальшивих податкових декларацій та проведення кредитних операцій.
Як шахраї заробляють на викрадених номерах SSN
Номер соціального страхування в США використовується для ідентифікації громадян у фінансовій, податковій та державній системах. Його вимагають банки, роботодавці, медичні установи та державні органи, тому викрадення такого номера може відкрити доступ до різних шахрайських схем.
Аналіз обговорень на даркнет-форумах показав, що викрадені SSN найчастіше використовують для обходу процедур ідентифікації клієнтів (KYC), оформлення кредитів і кредитних карток, відкриття банківських рахунків для виведення коштів та незаконного отримання податкових відшкодувань.
Серед інших поширених схем - шахрайство з допомогою по безробіттю та державними соціальними виплатами, незаконне перенесення телефонних номерів до іншого оператора (SIM porting), а також створення синтетичних особистостей, коли справжні персональні дані поєднують із вигаданими відомостями.
Один викрадений номер може приносити дохід кільком злочинцям. Його перепродають і повторно застосовують для різних операцій: один покупець оформлює кредитну картку, інший подає шахрайську податкову декларацію, використовуючи ті самі дані.
На відміну від скомпрометованого пароля, номер SSN неможливо просто замінити. Адміністрація соціального забезпечення США видає нові номери лише за виняткових обставин, зокрема у випадках документально підтвердженої тривалої крадіжки особистих даних, яка спричиняє серйозну шкоду.
Навіть після отримання нового номера старий залишається пов'язаним з історією людини в інформаційних базах. Через це усунення наслідків шахрайства може потребувати багаторічного контролю кредитної історії та врегулювання суперечок із фінансовими установами.
Кожна четверта досліджена база даних містила викрадені SSN
Coveron проаналізувала 733 бази даних, пов'язані зі США, які поширювалися в даркнеті. У 190 із них, або приблизно 26%, містилися номери соціального страхування.
Значна частина виявлених витоків пов'язана з експлуатацією вразливості програмного забезпечення MOVEit, яку застосувало хакерське угруповання CL0P. За даними дослідників, саме ця атака стала найбільшим чинником зростання кількості скомпрометованих SSN у проаналізованих базах.
Викрадення таких даних створює ризики не лише для власників банківських рахунків. Персональна інформація може використовуватися для оформлення позик, отримання державних допомог та інших платежів, що потребують підтвердження особи.
Про витік персональних даних повідомляють із затримкою у 50 днів
Окремою проблемою дослідники називають затримки між фактичним витоком інформації та повідомленням постраждалих. За результатами аналізу публічно розкритих інцидентів, медіанний проміжок між порушенням безпеки даних та його офіційним оприлюдненням становить 50 днів. В окремих випадках повідомлення з'являється більш ніж через рік.
Американське законодавство зобов'язує компанії повідомляти постраждалих про витоки персональних даних, але між атакою та інформуванням клієнтів може минути значний час. Однак протягом цього періоду злочинці вже можуть мати доступ до викрадених SSN, тоді як власники номерів не знають, що їхні дані скомпрометовані.
За оцінкою Coveron, найбільші фінансові втрати можуть виникати саме в проміжку між викраденням персональних даних і моментом, коли постраждала людина дізнається про інцидент та отримує можливість реагувати на шахрайські операції.
