Dados KYC continuam a ser um alvo para hackers, diz o Coin Center
O Coin Center alerta que o KYC obrigatório centraliza ainda mais dados de identificação sensíveis. O debate também abrange a verificação zero-knowledge, a DeFi e requisitos de conformidade mais rigorosos na Europa.
Pontos principais
- O Coin Center alerta que a identificação KYC obrigatória centraliza dados sensíveis e, por isso, constitui um alvo atrativo para hackers.
- Uma possível fuga de dados na IDScan.net ilustra, segundo a organização, quão vulnerável é a verificação de identidade; o FBI está a investigar o caso.
- O Coin Center defende uma verificação favorável à privacidade que apenas comprove a informação necessária, sem armazenar dados completos de identificação.
Uma nova possível fuga de dados em torno da IDScan.net mostra, segundo o Coin Center, quão vulnerável é a verificação de identidade obrigatória. Num serviço da dark web, estariam a ser colocados à venda mais de 153 milhões de dados de cartas de condução americanos e canadianos, enquanto o FBI conduz uma investigação sobre a alegada intrusão. O cerne do problema, segundo a organização, é que os processos KYC muitas vezes recolhem precisamente os dados sensíveis que os criminosos querem obter.
Porque é que o KYC é tão vulnerável
Laz Pieper, do Coin Center, afirma que as empresas e os reguladores querem combater a fraude com a verificação de identidade, mas, ao mesmo tempo, criam um grande risco. Quando nomes, moradas e comprovativos de identificação são armazenados de forma centralizada, surge um alvo atrativo para hackers. Isto aplica-se não só aos bancos, mas também a entidades como hotéis, empresas de aluguer de automóveis, casinos e retalhistas que utilizam tecnologia da IDScan.
O texto aponta também para incidentes graves anteriores, como o hacker da Equifax em 2017, no qual quase 148 milhões de americanos foram afetados. Pieper refere ainda que códigos temporários via SMS ou e-mail são frequentemente fáceis de explorar e que as verificações biométricas estão sob pressão devido aos rápidos desenvolvimentos da IA. A imagem que daí emerge é a de que muitos controlos atuais recolhem dados, mas nem sempre oferecem proteção suficiente.
Verificação favorável à privacidade
O Coin Center defende, por isso, sistemas em que uma pessoa apenas comprove o que é necessário, em vez de entregar uma cópia completa de um documento de identificação. Pense-se em provar a idade, o acesso a uma conta ou a autorização, sem que os dados subjacentes cheguem diretamente a uma empresa. Esta verificação favorável à privacidade ainda está em desenvolvimento, mas enquadra-se em experiências mais amplas no setor, como a verificação de idade zero-knowledge e outras formas de identidade descentralizada.
Para os leitores europeus de criptomoedas, isto é relevante porque a verificação de identidade também está a ser alargada fora dos EUA, nomeadamente no sentido da verificação de idade e de requisitos de conformidade mais rigorosos. Ao mesmo tempo, cresce o interesse em soluções que combinem melhor privacidade e verificação, também dentro da DeFi e dos pagamentos transfronteiriços. Isso torna o debate sobre minimização de dados não apenas jurídico, mas também prático para empresas de criptomoedas e fintech.
Também dentro do próprio setor, a minimização de dados continua a ser um tema recorrente. Numa fuga de dados anterior numa corretora de criptomoedas, por exemplo, ficou claro quão depressa dados de identificação, informações de contacto e dados de carteiras podem cair nas mãos erradas.
Mais pressão sobre as regras
Pieper alerta ainda que os legisladores em Washington e a nível estadual não devem introduzir obrigações adicionais de verificação em locais onde estas não são necessárias. Segundo ele, essas regras aumentam a quantidade de dados sensíveis armazenados, sem resolverem verdadeiramente a fraude. A sua conclusão é simples: se um serviço não precisa de identificação completa, então esses dados também não devem ser recolhidos.
