Experian Flaw Just Discealed PINs Protecting Credit Data

تجميد الائتمان هي أفضل طريقة لمنع الاحتيال الجديد في الحساب ، حيث يفتح المجرمون حسابات زائفة باسمك. ولكن موقع أحد مكاتب الائتمان جعل من السهل للغاية التحايل على الأمان الذي من المفترض أن يحافظ على سلامة تقاريرك الائتمانية.

كشف موقع Experian أرقام التعريف الشخصية - أرقام التعريف الشخصية اللازمة لتحرير تجميد الائتمان - بعد أن أجاب المستخدمون على أسئلة الأمان الخاصة بهم باستخدام إجابة شاملة: لا شيء مما سبق.

منذ أكثر من عام ، ذكر الخبير الأمني ​​بريان كريبز وجود عيب مماثل. في تلك المرحلة ، كان على الناس أن يجيبوا بشكل صحيح على الأسئلة الأربعة "المصادقة المستندة إلى المعرفة" المستخدمة لتحديدهم. المشكلة في هذه الطريقة ، وفقا لكريبس ، هي أن المعلومات الشخصية اللازمة لتخمين الإجابات بنجاح متاحة على الإنترنت من خلال المواقع التجارية والإجرامية.

ولكن لعدة ساعات يوم الخميس - ولمعرفة من قبل ذلك الوقت - لم يكن عليك حتى التخمين.

لقد نبهنا أحد القراء إلى هذه المسألة ، وكان العديد منا ممن قاموا بتجميد الائتمان قادرين على تكرارها. لقد طلبنا من متابعينا على Facebook و Twitter وسمعنا من الآخرين الذين يمكنهم الوصول إلى أرقام التعريف الشخصية الخاصة بهم.

عيب في العملية العادية

للحصول على الأرقام ، يملأ الأشخاص النموذج في صفحة استرداد PIN في Experian مع اسم الشخص وعنوانه ورقم الضمان الاجتماعي وتاريخ الميلاد - وهو بالضبط نوع المعلومات التي تم اختراقها في خرق Equifax في العام الماضي ، وهو متوفر للبيع على شبكة الإنترنت المظلمة. كان النموذج يتطلب عنوان بريد إلكتروني ، لا يلزم بالضرورة أن يكون المرتبط بحساب Experian للشخص. الإجابة عن "لا شيء مما سبق" على أسئلة الأمان - حتى لو كانت بعض الإجابات المقدمة صحيحة - أعطت حق الوصول إلى رقم التعريف الشخصي لهذا الشخص.

باستخدام رقم التعريف الشخصي ، يمكن لأي شخص أن يذوّق تجميد ائتمان هذا الشخص وأن يتقدم بطلب الحصول على ائتمان باسمه.

كما تمكن مدافع المستهلك مايك ليت من استرداد رقم التعريف الشخصي الخاص به باستخدام العيب. يقول ليت ، مدير الحملة في الولايات المتحدة PIRG ، وهي منظمة للدفاع عن المصلحة العامة: "لا يوجد أي عذر على الإطلاق لهذا". "كيف يمكنك فقط ترك مفاتيح الباب على سطح حصيرة الترحيب؟"

أصدر متحدث باسم Experian بيانًا بعد ظهر يوم الخميس قال فيه: "على الرغم من أننا واثقون من أن مصادقتنا آمنة ولا توجد ملفات ائتمانية في خطر ، فقد اتخذنا خطوات إضافية لجعل العملية أكثر أمانًا. نواصل مراقبة أنظمتنا بانتظام ، واتخاذ إجراءات فورية عند الضرورة لتعزيز أمان البيانات ".

رسائل خطأ في ركلة

بحلول نهاية يوم الخميس ، بدأ الكثير منا في تلقي رسائل الخطأ التي كان من المفترض أن تكون ردودنا قد ولدت في المقام الأول. تم توجيهنا إلى البريد بتجربة معلومات التعريف الخاصة بنا ، مثل نسخ رخصة القيادة ، وفواتير الخدمات العامة وبطاقة الضمان الاجتماعي.

بريد الولايات المتحدة ، في حالة ما يجب قوله ، ليس طريقة آمنة لنقل مثل هذه المعلومات. ولكن بما أن هذه التفاصيل محتملة في أيدي المجرمين بالفعل ، فسنتركها الآن.

هذا تذكير آخر بأننا بحاجة إلى متابعة مراقبة تقاريرنا الائتمانية وعشرات الحسابات الزائفة ، حتى لو كان لدينا تجميد ائتماني - كما يجب أن نفعل.

ما يبعث على الأسى حقاً هو أن تجميد الأمن من المفترض أن يكون واحداً من القلائل الفعالة القليلة التي يستطيع الناس تحملها ضد الاحتيال. وهذا هو السبب في أن خبراء الأمن قد أوصوا بها لسنوات ، ولماذا قام الكونغرس في النهاية بتجميد وتذويب الذوبان مجاناً اعتبارًا من 21 سبتمبر.

يخبرنا السهولة التي يمكن بها إحباط هذه الحماية الأساسية أن مكاتب الائتمان لا تزال لا تأخذ أمن معلوماتنا على محمل الجد بدرجة كافية.

ساهم الكاتب بيف أوشيه في هذا التقرير.