KYC-data blijft een hackerstarget, zegt Coin Center
Coin Center waarschuwt dat verplichte KYC juist meer gevoelige ID-data centraliseert. De discussie raakt ook zero-knowledge verificatie, DeFi en strengere compliance-eisen in Europa.
Korte samenvatting
- Coin Center waarschuwt dat verplichte KYC-identificatie gevoelige data centraliseert en daarmee een aantrekkelijk doelwit voor hackers wordt.
- Een mogelijk datalek bij IDScan.net laat volgens de organisatie zien hoe kwetsbaar identiteitscontrole is; de FBI onderzoekt de zaak.
- Coin Center pleit voor privacyvriendelijke verificatie die alleen laat zien wat nodig is, zonder volledige ID-gegevens op te slaan.
Een mogelijk datalek rond IDScan.net laat volgens Coin Center zien hoe kwetsbaar verplichte identiteitscontrole is. Op een dark-webdienst zouden meer dan 153 miljoen Amerikaanse en Canadese rijbewijsgegevens te koop worden aangeboden, terwijl de FBI de vermeende inbreuk onderzoekt. Volgens de organisatie zit het probleem vooral in KYC-processen die precies de gevoelige data verzamelen waar criminelen naar op zoek zijn.
Waarom KYC zo kwetsbaar is
Laz Pieper van Coin Center zegt dat bedrijven en toezichthouders met identiteitscontrole fraude willen tegengaan, maar tegelijk een groot risico creëren. Als namen, adressen en ID-bewijzen centraal worden opgeslagen, ontstaat er een aantrekkelijk doelwit voor hackers. Dat geldt niet alleen voor banken, maar ook voor hotels, autoverhuurders, casino’s en retailers die IDScan-technologie gebruiken.
De tekst verwijst daarbij naar eerdere grote incidenten, zoals de Equifax-hack in 2017, waarbij bijna 148 miljoen Amerikanen werden geraakt. Ook noemt Pieper dat tijdelijke codes via sms of e-mail vaak te misbruiken zijn en dat biometrische checks onder druk staan door snelle AI-ontwikkelingen. Het beeld dat daaruit naar voren komt, is dat veel huidige controles wel data verzamelen, maar niet altijd genoeg bescherming bieden.
Privacyvriendelijke verificatie
Coin Center pleit daarom voor systemen waarbij iemand alleen bewijst wat nodig is, in plaats van een volledige kopie van een ID af te staan. Denk aan het aantonen van leeftijd, toegang tot een account of bevoegdheid, zonder dat de onderliggende gegevens direct bij een bedrijf belanden. Zulke privacyvriendelijke verificatie is nog in ontwikkeling, maar sluit aan bij bredere experimenten in de sector, zoals zero-knowledge leeftijdsverificatie en andere vormen van gedecentraliseerde identiteit.
Voor Europese crypto-lezers is dit relevant omdat identiteitscontrole ook buiten de VS steeds verder wordt uitgebreid, onder meer richting leeftijdsverificatie en strengere compliance-eisen. Tegelijk groeit de interesse in oplossingen die privacy en verificatie beter combineren, ook binnen DeFi en grensoverschrijdende betalingen. Daardoor is de discussie over dataminimalisatie niet alleen juridisch, maar ook praktisch belangrijk voor crypto- en fintechpartijen.
Ook binnen de sector zelf blijft dataminimalisatie een terugkerend thema. Bij een eerder datalek bij een crypto-broker bleek bijvoorbeeld hoe snel identiteitsgegevens, contactinformatie en walletdata samen in verkeerde handen kunnen vallen.
Meer druk op regels
Pieper waarschuwt verder dat wetgevers in Washington en op staatsniveau geen extra verificatieplichten moeten invoeren op plekken waar die niet nodig zijn. Volgens hem vergroten zulke regels de hoeveelheid gevoelige data die wordt opgeslagen, zonder dat ze fraude echt oplossen. Zijn slotpunt is eenvoudig: als een dienst geen volledige identificatie nodig heeft, dan zou die data ook niet verzameld moeten worden.
