Wada doświadczalna właśnie ujawniła kody PIN chroniące dane kredytowe

Zamrożenie kredytów to najlepszy sposób na zapobieganie oszustwom na nowych kontach, w których przestępcy otwierają fałszywe konta na twoje nazwisko. Ale jedna strona biura kredytowego sprawiła, że ​​z trudem można obejść zabezpieczenia, które ma zabezpieczać raporty kredytowe.

Strona firmy Experian ujawniła osobiste numery identyfikacyjne - kody PIN niezbędne do zablokowania zamrożenia kredytu - po tym, jak użytkownicy odpowiedzieli na swoje pytania bezpieczeństwa ogólną odpowiedzią: Żadne z powyższych.

Ponad rok temu ekspert ds. Bezpieczeństwa Brian Krebs zgłosił podobną wadę. W tym momencie ludzie musieli poprawnie odpowiedzieć na cztery pytania "oparte na wiedzy", które posłużyły do ​​ich identyfikacji. Problem z tą metodą, według Krebsa, polega na tym, że dane osobowe potrzebne do pomyślnego odgadnięcia odpowiedzi są łatwo dostępne w Internecie za pośrednictwem stron komercyjnych, a także przestępczych.

Ale przez kilka godzin w czwartek - i kto wie, jak długo przedtem - nie musiałeś nawet zgadywać.

Czytelnik powiadomił nas o tym problemie, a kilku z nas, którzy zablokowali kredyt, zdołało go powielić. Poprosiliśmy naszych obserwatorów na Facebooku i Twitterze i usłyszeli od innych, którzy również mieli dostęp do swoich PIN-ów.

Luka w normalnym procesie

Aby uzyskać liczby, ludzie wypełniali formularz na stronie pobierania Experian's PIN z imieniem i nazwiskiem, adresem, numerem ubezpieczenia społecznego i datą urodzenia - dokładnie taki rodzaj informacji, który został naruszony w ubiegłorocznym naruszeniu Equifax, i który jest łatwo dostępny do sprzedaży w ciemnej sieci. Formularz wymagał adresu e-mail, który niekoniecznie musi być powiązany z kontem Experian tej osoby. Odpowiedź na "żadne z powyższych" na pytania bezpieczeństwa - nawet jeśli niektóre z proponowanych odpowiedzi były poprawne - dała dostęp do kodu PIN tej osoby.

Za pomocą kodu PIN każdy może odtajać zamrożenie kredytu tej osoby i złożyć wniosek o kredyt w swoim imieniu.

Rzecznik konsumentów, Mike Litt, był również w stanie odzyskać swój PIN za pomocą wady. "Nie ma absolutnie żadnego usprawiedliwienia", mówi Litt, dyrektor kampanii dla amerykańskiej organizacji PIRG zajmującej się propagowaniem interesów publicznych. "Jak możesz zostawić klucze do drzwi na górze maty powitalnej?"

Rzecznik Experian wydał oświadczenie w czwartek po południu, w którym napisano: "Chociaż jesteśmy przekonani, że nasze uwierzytelnienie jest bezpieczne i żadne pliki kredytowe nie są zagrożone, podjęliśmy dodatkowe kroki, aby proces był bezpieczniejszy. W dalszym ciągu regularnie monitorujemy nasze systemy, podejmując natychmiastowe działania, gdy uzasadniamy to wzmocnieniem bezpieczeństwa danych."

Pojawiają się komunikaty o błędach

Pod koniec czwartku wielu z nas zaczęło otrzymywać komunikaty o błędach, które powinny być generowane przez nasze odpowiedzi. Zostaliśmy skierowani na pocztę Experian do naszych informacji identyfikujących, takich jak kopie naszego prawa jazdy, rachunki za media i karta Ubezpieczenia Społecznego.

Poczta amerykańska, na wypadek, gdyby trzeba było to powiedzieć, nie jest bezpiecznym sposobem przekazywania takich informacji. Ale ponieważ te dane są już prawdopodobnie w rękach przestępców, zostawimy to na razie.

Jest to kolejne przypomnienie, że musimy nadal monitorować nasze raporty kredytowe i wyniki za nieuczciwe konta, nawet jeśli mamy zablokowane zamrożenie kredytu - tak jak powinniśmy.

To, co naprawdę jest niepokojące, to fakt, że zamrożenie bezpieczeństwa ma być jedną z niewielu skutecznych nadburć, które ludzie mogą przeciwdziałać oszustwom. Dlatego specjaliści od bezpieczeństwa zalecali im latami i dlaczego Kongres w końcu zamarzł i zaczął się rozmrażać od 21 września.

Łatwość, z jaką ta istotna ochrona może zostać udaremniona, mówi nam, że biura kredytowe wciąż nie traktują bezpieczeństwa naszych informacji wystarczająco poważnie.

Pisarz sztabowy Bev O'Shea przyczynił się do tego sprawozdania.