Викрадені номери соціального страхування в США продають у даркнеті за $2
Аналіз даркнету показав, що номери соціального страхування американців коштують від $2 до менш ніж $1 при гуртовій закупівлі. Викрадені SSN використовують для шахрайства, і наслідки тривають роками
Викрадені номери соціального страхування американців (Social Security Number, SSN) поступають на даркнет-майданчики за вельми низькою ціною: від $2 за один запис до менш ніж $1 при гуртовій закупівлі від 100 одиниць. Дослідження компанії Coveron, яка проаналізувала оголошення на темних майданчиках та в закритих месенджерах, виявило за останні два роки 5885 пропозицій щодо продажу пакетів даних зіSSN. Навіть така мала вартість дозволяє шахраям відкривати рахунки від імені потерпілих, подавати фальшиві податкові декларації та проводити кредитні операції.
Як використовують викрадені номери соціального страхування
У США номер соціального страхування служить основним засобом ідентифікації громадян у фінансових, податкових та державних системах. Банки, роботодавці, медичні заклади й органи влади запитують SSN для верифікації особи, тому його компрометація відкриває шахраям численні можливості для незаконних операцій.
Дослідження обговорень на форумах даркнету показало, що викрадені номери найчастіше застосовують для:
- Обходу процедур перевірки клієнта (KYC) та оформлення кредитів і кредитних карток;
- Відкриття банківських рахунків для вивести коштів;
- Незаконного отримання податкових відшкодувань;
- Оформлення пільг по безробіттю та державних соціальних виплат;
- Незаконного перенесення телефонних номерів до іншого оператора (SIM porting);
- Створення синтетичних особистостей, поєднуючи справжні дані з вигаданими відомостями.
Один викрадений номер може приносити дохід кільком злочинцям послідовно: перший оформлює на його основі кредитну картку, другий подає шахрайську податкову декларацію, третій отримує державну допомогу — все з використанням того самого SSN.
Чому неможливо просто «замінити» номер соціального страхування
На відміну від скомпрометованого пароля, номер SSN не можна замінити в один клік. Адміністрація соціального забезпечення США видає нові номери лише за виняткових обставин, у тому числі при документально підтвердженій тривалій крадіжці особистих даних, яка спричинила серйозну шкоду. Навіть після отримання нового номера старий залишається пов'язаним з історією людини в інформаційних системах, ускладнюючи усунення наслідків шахрайства на багато років.
Масштаб витоку: кожна четверта база даних містила SSN
Coveron дослідила 733 бази даних США, поширені в даркнеті. У 190 із них (приблизно 26%) виявлено номери соціального страхування. Значна частина витоків пов'язана з експлуатацією вразливості в ПЗ MOVEit, якою скористалося хакерське угруповання CL0P. Саме ця атака вважається найбільшим чинником зростання кількості скомпрометованих SSN у проаналізованих базах.
Затримка в повідомленні: постраждалі дізнаються про крадіжку занадто пізно
Окремою проблемою дослідники назвали медіанний розрив у 50 днів між фактичним витоком інформації та офіційним повідомленням постраждалих. В деяких випадках інформація про інцидент з'являється більш ніж через рік після компрометації. Американське законодавство зобов'язує компанії сповіщати клієнтів про витоки, проте протягом цього часу злочинці вже можуть активно використовувати викрадені SSN, а власники номерів не знають про загрозу та не можуть своєчасно протидіяти шахрайським операціям. За оцінкою Coveron, найбільші фінансові втрати зазвичай виникають саме в цьому проміжку.
Чи можна змінити номер соціального страхування в США після його крадіжки?
Адміністрація соціального забезпечення США видає нові номери лише за виняткових обставин, при документально підтвердженій тривалій крадіжці, яка спричинила серйозну шкоду. Навіть після отримання нового номера старий залишається пов'язаним з історією людини в базах даних.
Що можуть зробити шахраї з викраденим номером соціального страхування?
Викрадений SSN використовують для відкриття банківських рахунків, оформлення кредитів, подання фальшивих податкових декларацій, незаконного отримання допомоги по безробіттю та інших схем ідентифікаційного шахрайства. Один номер може приносити дохід кільком злочинцям послідовно.
Як довго люди можуть страждати від крадіжки номера соціального страхування?
Наслідки крадіжки SSN можуть тривати роками. Постраждалі мають здійснювати багаторічний контроль кредитної історії, розбиратися зі спірними операціями у фінансових установах і боротися з шахрайськими записами в своїх даних.
Скільки днів зазвичай проходить перед тим, як компанії сповіщають про витік персональних даних?
Медіанний проміжок між фактичним витоком та офіційним повідомленням постраждалих становить 50 днів. У деяких випадках інформація про інцидент розкривається більш ніж через рік після компрометації.
