ID-bedrijf lekt identiteitsdocumenten van TikTok-, Uber- en X-gebruikers

Een bedrijf dat identiteiten verifieert van TikTok-, Uber- en X-gebruikers, heeft identiteitsdocumenten gelekt die door gebruikers waren geüpload. De gegevens waren zeker een jaar toegankelijk.

Het gaat om het Israëlische bedrijf AU10TIX, dat niet alleen identiteiten verifieert, maar ook aan leeftijdsverificatie doet, schrijft 404 Media. Een beveiligingsonderzoeker ontdekte dat de inloggegevens voor een loggingplatform van het bedrijf online stonden.

Op dat platform staan links naar data gerelateerd aan specifieke mensen die hun identiteitsdocumenten hadden geüpload. Onbevoegden kunnen daar namen, geboortedata, nationaliteiten en identificatienummers inzien. Daarnaast was zichtbaar wat voor soort document was geüpload, zoals een rijbewijs of ID-kaart. Ook bevat het platform een link naar een afbeelding van het document zelf en het resultaat van het verificatieproces.

Volgens 404 Media lijkt het erop dat de inloggegevens in december 2022 gestolen werden en in maart 2023 op Telegram gedeeld zijn. AU10TIX bevestigt tegenover het Amerikaanse nieuwsmedium dat er een incident is geweest waarbij iemand in het account van een werknemer is gekomen. Dat incident speelde zich anderhalf jaar geleden af, waarop de inloggegevens werden ingetrokken. De beveiligingsonderzoeker zegt echter dat de inloggegevens een maand geleden nog werkten. AU10TIX zegt daarop dat het systeem in kwestie wordt uitgefaseerd.

Ook stelt het bedrijf dat hoewel het systeem toegankelijk was, er geen aanwijzingen zijn dat er data gestolen zijn. AU10TIX heeft zijn klanten op de hoogte gesteld van het incident.

Reacties (45)

[EraYaN]

Je zou toch zeggen dat je dit na verificatie niet meer nodig hebt deze data. Hoe kan het toch altijd dat bedrijven 0 nadenken voordat ze iets opslaan? Als je het niet hebt kun je het niet lekken. Persoonlijk is het altijd een overweging eigenlijk hier in de ontwikkeling van features en applicaties. Ik kan er niet bij dat je dit dan even "vergeet".

[Groentjuh]

Het complexe geinige dingetje is dat dit soort systemen natuurlijk validatie van vele soorten paspoorten/IDs en rijbewijzen moet kunnen doen. Om dat te doen, moet uiteraard bekend zijn hoe een document eruit ziet en welke validaties gedaan kunnen worden.

Daarvoor kun je bijna niets anders doen dan scans verzamelen. Ja, landen hebben ook wel specimen-documenten, maar deze zijn dan veelal duidelijk als specimen gelabeld. Daarnaast moet zo'n systeem in principe een specimen document apart herkennen om deze vervolgens ongeldig te verklaren, want het is een specimen.

En meestal is "geef mij eens een stuk of 10 niet-als-specimen-gelabelde-specimen documenten" geen optie bij de instanties, die documenten uitgeven.

Je kunt er rustig vanuit gaan dat ieder van dit soort cloud-valideer systeem op zijn minst enkele tientallen documenten scans per document model graag achterhoud. Simpelweg voor data voor machine learning en voor het testen van valideer algorithmes.

[Reactie gewijzigd door Groentjuh op 22 juli 2024 16:07]

[Aaargh!]

Het complexe geinige dingetje is dat dit soort systemen natuurlijk validatie van vele soorten paspoorten/IDs en rijbewijzen moet kunnen doen. Om dat te doen, moet uiteraard bekend zijn hoe een document eruit ziet

Validatie van een document op basis van een foto is sowieso onzin, zeker in een tijd van deepfakes.

[Sando]

Validatie van een document op basis van een foto is sowieso onzin, zeker in een tijd van deepfakes.

Ik haalde laatst een nieuw paspoort en mijn haarscherpe zelf gemaakte met 1200 DPI gedrukte pasfoto waarop je me nog kunt identificeren aan de poriën in mijn gezicht was afgekeurd omdat er een lichte schaduw op de achterwand te zien was. Vervolgens moest ik €14,50 afrekenen voor een pasfoto die ze bij het gemeentehuis maakten, en die is zo blurry dat je werkelijk waar niet eens kunt zien dat ik wenkbrauwen heb. Dit lijkt wel 72 DPI upscaled plus blur. Ja die 'schaduw' was een probleem [/s]. De pasfoto is inderdaad onzin.

Ik maak(te) en print(te) lange tijd mijn eigen foto's voor documenten conform de pasfotomatrix. Dat was nooit een probleem. De laatste keer dat ik een pasfoto liet maken voor een document was zo lang geleden dat het nog €4,50 kostte. Tot nu dus. Tien euro inflatie erbij.

[Groentjuh]

Ja, de enige manier dat je daadwerkelijk een goede validatie uit kan voeren is door het document in handen te kunnen houden. Het liefst met diverse hulpmiddelen, die meer controles mogelijk maken (bijvoorbeeld IR, UV licht).

Deze bedrijven zochten echter een oplossing, die iedereen op zijn eigen smartphone kan doen. Daarmee zit je vast aan whatever de camera van die smartphone kan en met geluk RFID. Dat laatste moet zowel op het document en de smartphone zitten.

In België hebben bijvoorbeeld een lange tijd geen RFID, maar een contactchip in hun IDs gehouden. Sinds ~2020 hebben ze nu beiden, dus is tot ~2030 het mogelijk dat een belg in zijn geldige ID geen RFID heeft.

De controles met al die beperkingen zeer beperkt, maar ja. Dat zijn wensen vanuit klanten.

[Sissors]

Daar hebben ze ook weer zaken voor om het te beperken. Niet 100% betrouwbaar nee, maar wat is het alternatief wat internationaal werkt? TikTok die kantoren over de hele wereld moet openen waar je fysiek heen moet om een account te maken zal ook niet heel populair zijn.

[The Lord]

et complexe geinige dingetje is dat dit soort systemen natuurlijk validatie van vele soorten paspoorten/IDs en rijbewijzen moet kunnen doen. Om dat te doen, moet uiteraard bekend zijn hoe een document eruit ziet en welke validaties gedaan kunnen worden.

Als je niet kan beschrijven wat de kenmerken voor validatie zijn zonder echte scans zit je in de verkeerde business c.q. ben je incompetent.

Los van dat je bij verwerking van gegevens van Europees ingezetenen de wet overtreedt.

[Raymond Deen]

Ik denk dat hiervoor wel exemplaren ter beschikking gesteld kunnen worden zonder daadwerkelijk klantdata hiervoor te gebruiken

[schrikbeeld]

@Groentjuh Niks geinige aan! Ieder land publiceert echtheidskenmerken van zijn ID-documenten. Daar zou het bedrijf het mee moeten doen en niet met de scans van eerdere cliënten.

[Reactie gewijzigd door schrikbeeld op 22 juli 2024 16:07]

[willieverhoef]

Niet helemaal, soms is er achteraf een discussie, en vreemd document. En dan wil je als bedrijf toch kunnen zien wat de basis is voor deze beslissing. Zeker omdat de klanten zoals een TikTok het dus niet doen.
Dit zit naar mijn mening meer in de periode, en een account welke geen MFA heeft, of nooit gebruikt wordt en het actief houden van accounts

[Jorah_Newstone]

ID check = goed bevonden is door en ID verwijderen maar.
ID check = twijfelgeval, is flaggen en door een medewerker laten bekijken, maar ID alsnog niet opslaan
ID check = fout is afkeuren en gebruiker opnieuw laten proberen, maar nooit een ID opslaan.

Dit had gewoon een pass of fail systeem moeten zijn, opslaan met ID documenten zonder zwaarwegend belang, mag gewoon niet.

[m4ikel]

Een Israëlische dienst, dan snap je het belang van het opslaan van ID informatie denk ik zelf ook wel. Israël houdt zich aan geen enkele wet of regelgeving en gebruikt deze data zeer zeker voor opsporing. Het is niet voor niets het land waar de meeste hack tooling (kuch: Pegasus) vandaan komt.

[Reactie gewijzigd door m4ikel op 22 juli 2024 16:07]

[The Lord]

Een verkeerde inrichting van je werkprocessen is bepaald geen goede reden. Discussie 'achteraf' los je op om op dat moment 'real-time' te valideren en zo meteen de gebruiker van feedback te kunnen voorzien.

Ik weet dat veel organisaties dit niet doen; o.a. Airbnb is zo een prutsclub. Die hebben nog nooit mijn paspoort kunnen valideren. Ben daar met een behulpzame Italiaanse 'validatie medewerker' vrij ver in gegaan, omdat zij goed op de hoogte was van de eGDPR. Zelfs een kopie met enkel BSN afgeschermd kwam niet door het systeem.

[Zezura]

Het heeft geen top prioriteit en wordt nooit meegenomen in de sprint. Want de manager vind deze functie niet belangrijk, dus blijft altijd in backlog staan? Of wordt verwijdert want draagt niet bij aan winstmaximalisatie 😂? Zoiets?

[hottestbrain]

Minder opslag = meer winst zou je denken

[PageFault]

Niet per se, als het bedrijf een malafide opzet heeft, weten ze dat ze heel veel kunnen verdienen aan deze gegevens

[hottestbrain]

Ik denk dat ik een wat minder optimistische naieve kijk moet hebben op dergelijke zaken inderdaad...

[copi]

Maar zoals aangegeven begint het bij het design. Als je dit soort data opslaat in een bucket met een lage TTL (want binnen X dagen moet zo'n verificatie toch wel eens gelukt zijn?) dan beperk je aanzienlijk het risico, en kost het geen extra werk.

[CAPSLOCK2000]

Eerlijk gezegd zit de ontwerpfout in de wet, die past niet in de moderne tijd en is gericht op stukjes op papier die je kort aan iemand anders laat zien die weinig mogelijkheid heeft om daar een kopie van te maken. Als die mogelijkheid er wel is dan blijft het risico beperkt tot een kleine groep mensen die direct contact hebben gehad en om misbruik te maken moet je zelf ook fysiek aanwezig zijn op de plek waar het paspoort of de kopie ook is.

Maar zo werkt de wereld al lang niet meer.

[cariolive23]

Blijkbaar is er dan niemand die kan uitleggen waarom het belangrijk is. Dat is een veel groter probleem dan die ene manager.

[R4gnax]

Oh die personen zijn er negen op de tien keer wel, maar worden net zo menige malen weggezet als pessimisten, doemdenkers, dramahoeren, etc. omdat "het allemaal niet zo'n storm zal lopen."

Liever gezegd: omdat die ene manager in kwestie die die beslissing moet maken - zonder verder goed gestoeld argument of zonder door de rest ter verantwoording geroepen te kunnen worden - vindt dat het allemaal niet zo'n storm zal lopen. Dat wil zeggen: het zal niet zo'n storm lopen voordat de enorme bak geld die er net met die beslissing bespaard is, ten dele in de eigen broekzak als einde-jaar of einde-maand bonus gaat verdwijnen. En als er dan toch mot van komt? Tja; dan hadden de projectontwikkelaars gewoon beter werk af moeten leveren en wentelen ze het alsnog af.

[Reactie gewijzigd door R4gnax op 22 juli 2024 16:07]

[cariolive23]

Nee dus, ze kunnen het blijkbaar niet goed uitleggen waarom iets een probleem is. Dat iemand het zegt, wil niet zeggen dat een ander het begrijpt.

[m4ikel]

In dit geval kun je er in het huidige politieke klimaat van Israël wel vanuit gaan dat het om een indirect staatsbedrijf gaat. Dat plaatst het opslaan van ID gegevens in een ander daglicht (opsporing). Het lek kan in dat opzicht dus ook bewust zijn gecreëerd (backdoor), juridisch geen link, maar de geheimendiensten konden gewoon hun gang gaan op de dataset.

In Israël geldt momenteel de noodtoestand. Je snapt dan ook dat databanken als deze worden ingezet om verdachten op te sporen. Hoe denk je anders dat er drone strikes worden uitgevoerd? Daar wordt alle beschikbare data voor ingezet.

Nu klinkt bovenstaande al een complot, en dat is het misschien ook wel. Maar het is tevens een bekende modus operandi.

[Reactie gewijzigd door m4ikel op 22 juli 2024 16:07]

[graceful]

Zolang mensen hierop reageren met "zo simpel is het niet", weet je welke programmeurs je niet moet inhuren. Want zo simpel is het inderdaad wel, niks opslaan dat niet permanent nodig is.

Buiten dat het simpelweg niet mag per wet. Maar daar zal wel weer niks mee gebeuren..

[CrimInalA]

Zij worden waarschijnlijk verplicht om die documenten x aantal jaar bij te houden voor overheden//banken .
Het is niet voldoende om te zeggen "we hebben het geverifieerd" , maar als puntje bij paaltje komt moeten zij bewijzen exact WAT ze geverifieerd hebben . Dus houden ze het maar (onnodig lang) bij .

Israelisch bedrijf , zal wel 0 gevolg aan gegeven worden . Is allemaal maar normaal vandaag de dag .

[Joshuffle]

En dan keken ze raar op (bij youtube ook) dat niemand met gezond verstand hun ID wou uitleveren aan een random bedrijf om ""18+""" (lees: er word gescholden) content te zien.

[Reactie gewijzigd door Joshuffle op 22 juli 2024 16:07]

[lezzmeister]

YT eist ook al tijden kopie paspoort. Bekijk het maar. Dan sta ik ook zo te kijk.

[123barracuda]

Marktplaats ook, omdat je meer dan 30 artikelen hebt verkocht, of boven de 2000 euro zou kunnen komen.
30 stuks verkocht klopt wel.
Mijn mp account is nu beperkt, omdat ik geen id wil uploaden. Heb er wel eentje geupload, met al het onnodige afgeschermd, werd geweigerd. Ik wilde het met IDIN alleen doen, maar dat kon niet.
Dan niet. Straks heb je overal copieen liggen, en zo zie maar, kan zomaar lekken.

Trouwens op X ook geen id controle. Als dat erbij komt, gaat dat ook weg. Ze willen veel te veel weten.
En inderdaad, YT zou ik helemaal niet doen, alles aan Google gerelateerd hou ik op grote afstand.

[lezzmeister]

Grappig: ik wilde net betalen met tegoed dat ik nog had van Amazon.nl: moet je ook voor uploaden. Amazon gaf wel een reden: het gaat om witwassen. Witwassen tegengaan, witwassen met tegoed dat je krijgt voor wat ze niet leverde.

FB weigerde ook al mijn naam, want die zou vals zijn. Foto paspoort, maar niks afdekken, om valse namen tegen te gaan. Dan maar een valse naam, geen probleem.

[123barracuda]

Zo is het. Ben bang dat je dit steeds meer krijgt, dat bedrijven groot of klein je id willen hebben. Nou, kan je zeggen, streept toch lekker weg zo. FB begin ik al niet aan, als X er mee zou komen, ook weg ermee ( op X heb ik al jaren een verzonnen naam, en dan bedoel ik geen voor-achternaam, dus wellicht komt die vraag eens.
Ik ben zeer terughoudend in dat soort dingen, en niet voor niets blijkbaar....

[Joshuffle]

Als je gewoon lang genoeg niet doet en dan maar die 18+ videos skipt dan stoppen ze met vragen, ik heb het tenminste al 2 jaar niet meer gezien en nooit mijn ID/paspoort gegeven.

[Edgar Wagt]

Ik heb dat ook nooit gedaan, maar ik weet niet welke 18+ video's ik niet kan kijken want er komt af en toe van alles voorbij waarvan ik me afvraag of het uberhaupt wel op youtube mag staan

[SinergyX]

Eist enkel daar waar ze het niet direct kunnen vaststellen, waar ook een creditcard gebruikt voor kan worden.

[CAPSLOCK2000]

Kunnen we nu eindelijk keihard verbieden dat mensen hun ID scannen/uploaden/delen anders dan via de officiele kanalen van de Nederlandse overheid, dus bijvoorbeeld met een koppeling aan DIGID?
Met zware boetes voor bedrijven die het ook maar durven te vragen?

Dit is nu al te vaak fout gegaan. Strict genomen moet je heel voorzichtig om gaan met je ID en mag je die helemaal niet zomaar delen, maar in praktijk wordt je als burger voor het blok gezet. Je moet bijna meedoen als je gebruik wil maken van alle moderne sites en software, zeker als het niet helemaal kindvriendelijk is.

Bedrijven hebben eigenlijk de plicht om gegevens zo kort mogelijk te bewaren, er van uitgaande dat ze die gegevens mogen hebben. Om een identiteit te controleren hoef je die data niet lang te bewaren. Ik heb het nog nooit gehoord dat iemand een boete heeft gekregen voor het te lang bewaren van informatie. Ik snap het, want het is haast niet te controleren wat bedrijven hebben of wat "te lang" is. Daarom wil ik een veel strengere aanpak en het gewoon helemaal te verbieden om dit soort informatie te hebben. Als er een paspoortscan wordt aangetroffen dan zou dat direct een forse boete moeten opleveren.
(Uiteraard met een paar logische en noodzakelijke uitzonderingen, je kan niet voorkomen dat mensen ongevraagd per e-mail een scan opsturen).


Ik ben niet fundamenteel tegen alle identiteitscontroles maar ons huidige systeem werkt niet in het digitale tijdperk. We hebben alternatieven als DIGID en Yivi (voorheen Irma), tijd om die te gaan gebruiken, vooral Yivi zou heel veel dingen veiliger en makkelijker maken.

[Reactie gewijzigd door CAPSLOCK2000 op 22 juli 2024 16:07]

[FrostyPeet]

Het is altijd al een lastig probleem geweest ook in het analoge tijdperk.

Als een hotel je niet laat overnachten zonder kopie paspoort en je staat daar is het moeilijk om principieel te zijn. Vooral als de hoteleigenaar lak heeft aan de wet in een ander land, immers het is zijn land. Nog erger, dat je paspoort zelf werd geëist als "onderpand" dat de rekening werd betaald bij vertrek. Was je helemaal de sjaak als dat paspoort gestolen werd.

Je zag het ook bij bezoekers bij fabrieken, "even" een kopietje van je rijbewijs bij de portier die je dan een bezoekersbadge gaf. Moest je er ook maar op vertrouwen dat die ordner met kopietjes netjes werd vernietigd.

Mensen willen een verified vinkje op Meta of een dating site, dan gaan ze hun gezicht in het cirkeltje van de camera app positioneren.

[CAPSLOCK2000]

Het is altijd al een lastig probleem geweest ook in het analoge tijdperk.

Ja, het grote verschil zit zich echter in de massaliteit. Bij een lek kunnen de gegevens van miljoenen mensen tegelijk uitlekken in een handsaam (digitaal) formaat.

Mensen willen een verified vinkje op Meta of een dating site, dan gaan ze hun gezicht in het cirkeltje van de camera app positioneren.

Ik snap het, zit er zelf ook erg tegen aan te hikken. Voor bepaalde zaken is het eigenlijk gewoon niet te doen en zijn de sociale kosten van niet meedoen best wel heftig en vooral heel erg veel.

Klein voorbeeldje, bij mijn favoriete podium is het sinsdien niet meer mogelijk om een kluisje te huren zonder een telefoon te gebruiken. Betalen via je telefoon zonder de app van je bank of google pay of zo iets is best wel een gedoe, te ingewikkeld voor de meesten, zeker als het veilig moet zijn. Om die apps te kunnen installeren moet je bijna account aanmaken bij Google (of handig zijn geitenpaadjes en omwegen zoals Aurora) en is er onmiddelijk druk om je identiteit te delen en te bevestigen.

Natuurlijk is een kluisje niet verplicht, je hoeft geen spullen mee te nemen of je kan je jas aanhouden tijdens het dansen Toch is het gewoon ontzettend onhandig. Dat is dan één piepklein dingetje uit een eindeloze stroom van duwtjes en speldenprikken.

Dat is dan een piepklein voorbeeldje voor iets triviaals, maar wel iets dat maar door gaat. Er gaat een punt komen dat de druk te groot wordt. Zodra het om belangrijkere zaken (gezondheid, onderdak, werk) kun je eigenlijk niet weigeren als ze er eisen gesteld worden. Het is geen complot. Ze proberen allemaal het beste te maken van een lastige situatie met grote risico's en forse kosten. Daarom moet de overheid het reguleren niet verwachten dat de markt wel met een oplossing komt. De oplossing van de markt is namelijk om alles bij de gebruiker neer te leggen. (Dat bedoel ik niet als verwijt, maar als logische gevolgtrekking omdat het nu eenmaal de makkelijkste en goedkoopste oplossing is).

[Reactie gewijzigd door CAPSLOCK2000 op 22 juli 2024 16:07]

[wtfloris]

Niet best. Ik word er altijd heel zenuwachtig van als ik m'n ID moet uploaden voor iets, maar vaak heb je geen keus (bijvoorbeeld om een woning te huren).

Ze kunnen de voordeur al niet eens werkend houden, gaan ze echt in staat zijn om identiteitsgegevens van duizenden mensen veilig te houden?

[Tintel]

En terecht blijkbaar. Want het is natuurlijk heel bijzonder dat ze wel weten dat de inloggegevens zijn gestolen maar toch durven te beweren dat geen data is gestolen..... en waarom zou men dan anders die inloggegevens hebben gestolen.....?

Dikke ellende dus....ID controle via een bedrijf dat niet betrouwbaar overkomt, om te kunnen inloggen bij bedrijven die onbetrouwbaar zijn gebleken.... Omdat ze jou als gebruiker niet vertrouwen (vast weer onder de noemer van bescherming van het 1 of ander).

[slijkie]

Vreemd, ben al eeuwen (sinds het X is) Premium Plus lid, nog nooit mijn identiteits papieren hoeven uploaden. Iets wat ik nevernooit zou doen trouwens.

Er was/is op X al een lange tijd discussie/kritiek waarom dit bedrijf gebruikt wordt voor verificaties, onvrede dus.

Dus niet best.

[Niema]

In het verleden kon je gekleurde vinkjes krijgen als je je ID liet checken

[chemokar]

Tja en dan staat er bij de verificatie dat de gegevens niet worden opgeslagen….. dat geloofd nu niemand meer. Linkedin zit ook elke keer te zeuren om verificatie, nou mij niet gezien.

[AMDLegion]

En dan vragen mensen op Marktplaats waarom je ondanks je hoge reviews je niet met een ID wilt verifiëren, je informatie ligt gewoon op straat, niet nu, niet volgende week, volgende maand maar alles word gelekt of gehacked

[Osiummaster]

Interesant dat Twitter en TikTok een Israelisch bedrijf hebben die alle ID's beheert.

[segil]

En daarom upload ik nooit een ID bewijs naar een 3rd party, zoals bijvoorbeeld AirBNB vereist. Zelfs afschermen van gevoelige informatie wordt niet toegestaan.

[peterpijpelink]

LinkedIn wil dit nu ook, en jaar geleden was het ICS met hun creditcard, moest je ook gezichtsfoto met je ID zichtbaar maken en uploaden. Dan maar geen ICS creditcard.... Dit gaat een keer massaal fout, en dat is hier nu dus het bewijs. ID verificatie proces moet uitgebreid worden met soort private key uitwissel idee, dan lever je de private key en bevestigd deze online. eiDAS (Europees ID) lost dit ook niet op. Dus zal een probleem blijven en een keer mega fout gaan en dan is het huilie-huilie.