Dane KYC nadal są celem hakerów, mówi Coin Center
Coin Center ostrzega, że obowiązkowe KYC jeszcze bardziej centralizuje wrażliwe dane tożsamości. Dyskusja dotyczy też weryfikacji zero-knowledge, DeFi i surowszych wymogów zgodności regulacyjnej w Europie.
Najważniejsze informacje
- Coin Center ostrzega, że obowiązkowa identyfikacja KYC centralizuje wrażliwe dane, a przez to staje się atrakcyjnym celem dla hakerów.
- Możliwy wyciek danych w IDScan.net pokazuje według organizacji, jak podatna jest kontrola tożsamości; FBI prowadzi w tej sprawie dochodzenie.
- Coin Center opowiada się za weryfikacją przyjazną prywatności, która potwierdza tylko niezbędne informacje, bez przechowywania pełnych danych z dokumentu tożsamości.
Nowy możliwy wyciek danych wokół IDScan.net pokazuje według Coin Center, jak podatna jest obowiązkowa kontrola tożsamości. Na usłudze dark web miało być oferowanych na sprzedaż ponad 153 miliony danych prawa jazdy amerykańskich i kanadyjskich, podczas gdy FBI prowadzi dochodzenie w sprawie domniemanego naruszenia. Sedno problemu polega według organizacji na tym, że procesy KYC często zbierają dokładnie te wrażliwe dane, których chcą przestępcy.
Dlaczego KYC jest tak podatne
Laz Pieper z Coin Center twierdzi, że firmy i organy nadzorcze chcą ograniczać oszustwa za pomocą kontroli tożsamości, ale jednocześnie tworzą duże ryzyko. Gdy imiona i nazwiska, adresy oraz dokumenty tożsamości są przechowywane centralnie, powstaje atrakcyjny cel dla hakerów. Dotyczy to nie tylko banków, ale też podmiotów takich jak hotele, wypożyczalnie samochodów, kasyna i sprzedawcy detaliczni korzystający z technologii IDScan.
Tekst wskazuje przy tym na wcześniejsze duże incydenty, takie jak atak hakerski na Equifax w 2017 roku, w którym ucierpiało niemal 148 milionów Amerykanów. Pieper zauważa też, że tymczasowe kody wysyłane przez SMS lub e-mail często można nadużyć, a kontrole biometryczne są pod presją szybkiego rozwoju AI. Z tego obrazu wynika, że wiele obecnych kontroli zbiera dane, ale nie zawsze zapewnia wystarczającą ochronę.
Weryfikacja przyjazna prywatności
Coin Center opowiada się więc za systemami, w których użytkownik potwierdza tylko to, co konieczne, zamiast przekazywać pełną kopię dokumentu tożsamości. Chodzi na przykład o potwierdzenie wieku, dostępu do konta lub uprawnień, bez bezpośredniego przekazywania podstawowych danych firmie. Taka weryfikacja przyjazna prywatności jest jeszcze w fazie rozwoju, ale wpisuje się w szersze eksperymenty w branży, takie jak weryfikacja wieku zero-knowledge i inne formy zdecentralizowanej tożsamości.
Dla europejskich czytelników kryptowalut ma to znaczenie, ponieważ kontrola tożsamości jest coraz szerzej rozszerzana także poza USA, między innymi w kierunku weryfikacji wieku i surowszych wymogów zgodności regulacyjnej. Jednocześnie rośnie zainteresowanie rozwiązaniami, które lepiej łączą prywatność i weryfikację, także w DeFi i płatnościach transgranicznych. To sprawia, że dyskusja o minimalizacji danych jest ważna nie tylko z prawnego, ale też praktycznego punktu widzenia dla firm z sektora crypto i fintech.
Także w samej branży minimalizacja danych pozostaje powracającym tematem. W przypadku wcześniejszego wycieku danych u brokera kryptowalut okazało się na przykład, jak szybko dane tożsamości, informacje kontaktowe i dane portfeli mogą trafić w niepowołane ręce.
Większa presja na przepisy
Pieper ostrzega ponadto, że ustawodawcy w Waszyngtonie i na poziomie stanowym nie powinni wprowadzać dodatkowych obowiązków weryfikacyjnych tam, gdzie nie są one potrzebne. Jego zdaniem takie przepisy zwiększają ilość przechowywanych wrażliwych danych, nie rozwiązując realnie problemu oszustw. Jego końcowy wniosek jest prosty: jeśli usługa nie potrzebuje pełnej identyfikacji, to takich danych nie powinno się też zbierać.
