Hackers tiveram uma transmissão ao vivo de todos os documentos verificados por uma empresa de verificação de identidade por mais de um ano

Artigo original ↗ Discussão no Hacker News ↗

Hackers teriam obtido uma transmissão ao vivo de todos os documentos de identidade processados por uma grande empresa de verificação por mais de um ano, reacendendo o medo de que verificações de identidade em larga escala na internet sejam fundamentalmente inseguras. Comentadores conectam essa violação a preocupações mais amplas com verificações obrigatórias de idade e identidade, argumentando que tanto sistemas governamentais quanto privados vazam rotineiramente dados altamente sensíveis sem enfrentar consequências reais. Muitos defendem esquemas criptográficos ou de identidade digital respaldados pelo governo com exposição mínima de dados, enquanto outros sustentam que a única proteção confiável é não coletar e centralizar esses dados em primeiro lugar.

Meta-discussão sobre a cobertura

  • Vários comentaristas preferem o texto anterior, mais detalhado, de um jornalista de segurança, e observam que ele chegou brevemente à página inicial do HN e depois caiu rapidamente, o que alguns acham suspeito dada sua importância.
  • Alguns usuários descobrem o arquivo mais amplo desse jornalista e o descrevem como ao mesmo tempo envolvente e angustiante.

Risco da verificação de identidade / idade em geral

  • Muitos veem essa violação como confirmação de alertas de longa data: coletar scans de documentos para verificação online é inerentemente perigoso e será abusado.
  • Vários comentários enfatizam que “prove que você é X nos enviando informações suficientes para personificar X” é um padrão fundamentalmente quebrado.
  • Céticos duvidam que o incidente vá “matar” a verificação de identidade, comparando-o aos bureaus de crédito: falhas repetidas, mas o sistema persiste.

Crianças, checagens de idade e a internet

  • Há muito sarcasmo em torno dos “sacrifícios” exigidos para proteger crianças online; alguns argumentam que a verificação de idade não ajuda ninguém e serve principalmente ao controle político.
  • Alternativas propostas:
    • Proibir ou desencorajar fortemente o uso sem supervisão da internet por crianças pequenas.
    • Colocar a responsabilidade nos pais e nos sistemas existentes de negligência, e não na infraestrutura de identidade.
  • Outros respondem que a pressão dos colegas e pais negligentes tornam controles puramente domésticos insuficientes.

Governo vs identidade digital privada

  • Um grupo prefere carteiras digitais / eID administradas pelo governo (exemplos da UE, PKI nacional), já que o Estado já emite documentos e adicionar terceiros apenas multiplica os pontos de falha.
  • Outro grupo desconfia dos governos centrais (especialmente em países que deslizam para o autoritarismo), teme pontos únicos de falha e se preocupa com o “apagamento” de uma pessoa se um emissor reter credenciais.
  • Há forte preocupação de que, mesmo esquemas ao estilo da UE, acabem na prática vinculados aos ecossistemas da Apple/Google e a dispositivos proprietários.

Provas de conhecimento zero, PKI e esquemas técnicos

  • Defensores destacam ZKP e credenciais verificáveis como formas de provar atributos (por exemplo, idade) sem divulgar o documento completo, e observam protótipos funcionais e algumas implantações nacionais.
  • Críticos argumentam:
    • Esquemas reais de idade com ZK não são verdadeiramente “conhecimento zero” quando você adiciona exigências anti-compartilhamento / MFA.
    • Qualquer pessoa pode intermediar sua credencial, por exemplo, um adulto servindo de fachada para vários menores, o que empurra os projetos para o bloqueio ao dispositivo e o rastreamento pelo emissor.
    • A criptografia não consegue corrigir os incentivos sociais e os problemas de usabilidade subjacentes.

Regulação, responsabilidade e reutilização de dados

  • Indignação de que empresas e governos vazam ou vendem repetidamente dados altamente sensíveis (registros do DMV, scans de carteiras, consultas de ALPR) com pouca consequência.
  • Sugestões:
    • Danos legais rigorosos por cada ID vazado, aumentando para reincidências e vinculados aos ativos em risco da vítima.
    • Proibir ou penalizar fortemente o armazenamento de imagens de documentos quando não for estritamente necessário.
  • Ceticismo de que normas atuais (ações coletivas, monitoramento de crédito barato) criem incentivos perversos em vez de responsabilização real.

Prática de segurança e falha sistêmica

  • Alguns enfatizam o quão difícil é proteger sistemas complexos e cadeias de suprimento; outros argumentam que muitos incidentes vêm de problemas conhecidos e não corrigidos, deixados de lado em favor de funcionalidades.
  • Há frustração com regimes de conformidade (por exemplo, SOC2) vistos como “teatro de segurança”.
  • Vários criticam pedidos de mais centralização em resposta à falha de um grande pipeline centralizado de identidade, argumentando que isso só aumenta a honeypot.