Рік хакери стежили за сканами документів у сервісах верифікації

Хакери щонайменше рік мали живий доступ до потоку сканів документів, які люди завантажували під час верифікації особи в сервісах перевірки. Ідеться не про базу, яку злили одноразово, а про постійний канал: коли ви фотографували паспорт і своє обличчя для банку чи біржі, це зображення в реальному часі бачив хтось сторонній.

Різниця між викраденою базою і живим потоком — принципова. Пароль ви змінюєте за хвилину, картку перевипускаєте. Скан паспорта, водійського, обличчя під різними кутами — ні. Це дані, які лишаються з вами на все життя, і саме їх збирають сервіси верифікації, щоб довести, що ви — це ви.

Чому це б'є саме по українцях

Верифікація особи online в Україні за останні роки стала рутиною. Її просить банк під час відкриття рахунку, криптобіржа перед виводом коштів, іноземний сервіс під час реєстрації, іноді — держпослуги. Майже завжди цю перевірку виконує не сама компанія, а зовнішній підрядник — так званий KYC-провайдер. Ви його ніколи не бачите і не знаєте його назви.

Саме тут і криється проблема. Ви довіряєте документи банку, а насправді вони йдуть через ланцюг посередників, за безпеку яких банк відповідає лише на папері. Якщо скомпрометований провайдер обслуговує десятки сервісів одночасно, витік з однієї точки зачіпає клієнтів усіх цих сервісів разом.

Як перевірити, кому насправді йдуть ваші документи

Повної гарантії немає, але кілька кроків дають реальну картину:

• Дивіться в момент завантаження. Коли відкривається вікно з камерою чи формою для скану — гляньте на адресний рядок або дрібний напис унизу. Часто там видно домен стороннього сервісу, а не сайту банку.
• Читайте політику конфіденційності. Серйозні компанії називають, який підрядник обробляє біометрію, і де зберігаються дані. Відсутність цієї інформації — сама по собі відповідь.
• Питайте прямо. У підтримки банку чи біржі можна спитати: хто виконує KYC і чи видаляються скани після перевірки. Ухильна відповідь означає, що контролю над цим у них немає.

Чек-лист безпечної верифікації

• Верифікуйтеся лише на сервісах, якими реально користуєтесь, а не на кожному, що просить «підтвердити особу».
• Не надсилайте скани документів у месенджери, на пошту чи в чат підтримки — тільки через захищену форму верифікації.
• Якщо сервіс дозволяє — накладайте на копію документа водяний знак із зазначенням, для кого і коли вона зроблена. Це не рятує від витоку, але ускладнює повторне використання.
• Після проходження перевірки вимагайте видалення сканів, якщо це передбачено. Право на видалення у вас є за законом про захист персональних даних.
• Ставтеся до фото свого обличчя як до підпису: воно тепер частина систем розпізнавання, і відкликати його неможливо.

Головний висновок неприємний, але чесний: ваша біометрія вже розсіяна по десятках сервісів, і цей витік — не остання така історія. Єдиний важіль, який лишається у ваших руках, — свідомо вирішувати, кому ви взагалі даєте свій паспорт і обличчя, і скорочувати цей список до мінімуму.