Onderzoekers achterhalen algoritme Amerikaanse sofinummers

Onderzoekers van de Carnegie Mellon-universiteit hebben een algoritme ontwikkeld om Amerikaanse Social Security Numbers te genereren. Samen met gegevens van sociale-netwerksites zou dat identiteitsdiefstal en fraude mogelijk maken.

Het Amerikaanse Social Security Number, de evenknie van het Nederlandse sofi- of burgerservicenummer, is van groot belang voor onder meer de autorisatie van financiële transacties. Het in verkeerde handen vallen van een SSN, of het vervalsen ervan, zou identiteitsdiefstal en fraude in de hand werken, en de Amerikaanse overheid heeft zich grote moeite getroost het vervalsen van SSN's tegen te gaan. Een van die maatregelen is de publicatie van een zogenoemde Death Master File, waarin de SSN's van overledenen zijn opgenomen, zodat deze niet door fraudeurs gebruikt kunnen worden.

Ook heeft de ambtenarij informatie gepubliceerd over de manier waarop de nummers zijn opgebouwd: de eerste drie cijfers duiden de staat van uitgifte aan en worden gevolgd door een tweecijferig groepsnummer. De laatste vier cijfers lijken willekeurig, maar worden sinds de jaren tachtig van de vorige eeuw berekend aan de hand van de geboortedatum. Van die eigenschap maken de twee onderzoekers gebruik door de nummers uit de Death Master File op te splitsen naar staat en op datum te rangschikken.

Vervolgens zochten ze naar algoritmes om de SSN's te berekenen. Het bleek dat met name dunbevolkte staten SSN's hadden uitgegeven die gemakkelijk te voorspellen zijn. Met hun algoritmes waren de twee in staat de eerste vijf cijfers van SSN's van voor 1988 uit de Death Master File in zeven procent van de gevallen te voorspellen. Met SSN's van na 1988 steeg de precisie tot 44 procent, maar voor de dunbevolkte staten bleek een rendement van boven de 90 procent haalbaar.

De laatste vier cijfers bleken moeilijker met succes te voorspellen: in slechts 0,1 procent lukte dat binnen tien pogingen, hoewel het percentage met gebruik van data van kleinere staten kon stijgen tot vijf procent. In hun rapport stellen de auteurs echter dat een botnet van slechts tienduizend computers met succes 47 geldige SSN's per minuut voor West Virginia zouden kunnen genereren. Daarbij is rekening gehouden met een toegestane foutmarge van twee cijfers in de SSN's, die is  toegestaan als de geboortedatum en de geboorteplaats correct worden opgegeven. Dergelijke gegevens kunnen eenvoudig op sociale-netwerksites verzameld worden, zo menen de twee onderzoekers.