एक्स, टिकटॉक और उबर द्वारा इस्तेमाल की जाने वाली पहचान सत्यापन फर्म ने उपयोगकर्ताओं के ड्राइविंग लाइसेंस उजागर किए

404 मीडिया की एक रिपोर्ट के अनुसार, एक प्रमुख पहचान सत्यापन फर्म जिसने TikTok, Uber, X और अन्य बड़े प्लेटफ़ॉर्म के साथ अनुबंध किया है, ने प्रशासनिक लॉगिन क्रेडेंशियल्स का एक सेट एक साल से अधिक समय तक इंटरनेट पर खुला छोड़ दिया। आउटलेट लिखता है कि क्रेडेंशियल्स किसी बुरे व्यक्ति को अमेरिकियों के ड्राइविंग लाइसेंस की छवियों सहित संवेदनशील उपयोगकर्ता जानकारी तक पहुँचने की अनुमति दे सकते हैं।

विचाराधीन कंपनी, AU10TIX, लॉगिन और आईडी सत्यापन सेवाएँ प्रदान करती है। हमने पिछले साल इसके बारे में लिखा था, जब यह X (पूर्व में ट्विटर) के साथ साझेदारी कर रही थी। उस समय, एलन मस्क कई नए, विवादास्पद फीचर पेश कर रहे थे, जिसमें ब्लू सब्सक्राइबर खातों के लिए वैकल्पिक उपयोगकर्ता सत्यापन भी शामिल था।

X जैसी साइटों पर उपयोगकर्ताओं को सत्यापित करने के लिए, AU10TIX कई पहचान डेटा बिंदुओं की मांग करता है, जिसमें सेल्फी और सरकार द्वारा जारी आईडी की तस्वीरें शामिल हैं। ये डेटा बिंदु किसी कंपनी को यह पुष्टि करने में मदद करते हैं कि उपयोगकर्ता एक वास्तविक व्यक्ति है और कोई बॉट नहीं है, लेकिन वे ऐसी स्थिति में गोपनीयता दायित्व बन सकते हैं।

404 मीडिया लिखता है कि यह गड़बड़ी इसलिए शुरू हुई क्योंकि 2022 में AU10TIX के एक कर्मचारी के लॉगिन क्रेडेंशियल मैलवेयर द्वारा चुरा लिए गए और बाद में टेलीग्राम चैनल पर पोस्ट कर दिए गए। आउटलेट को शुरुआत में एक साइबर सुरक्षा शोधकर्ता द्वारा स्थिति के बारे में सचेत किया गया था। चुराए गए क्रेडेंशियल से जुड़ा नाम लिंक्डइन पर एक व्यक्ति के नाम से मेल खाता था, जो AU10TIX में नेटवर्क ऑपरेशन सेंटर मैनेजर के रूप में सूचीबद्ध है, 404 लिखता है। क्रेडेंशियल ने एक लॉगिंग प्लेटफ़ॉर्म में प्रवेश की अनुमति दी, जहाँ कुछ क्लाइंट प्लेटफ़ॉर्म के उपयोगकर्ताओं से संबंधित डेटा दिखाई देता था। साइबर सुरक्षा शोधकर्ता ने डेटा के स्क्रीनशॉट प्रदान किए जिन्हें क्रेडेंशियल का उपयोग करके एक्सेस किया जा सकता था, और 404 इसे इस तरह से विभाजित करता है:

सुलभ जानकारी में व्यक्ति का नाम, जन्म तिथि, राष्ट्रीयता, पहचान संख्या और अपलोड किए गए दस्तावेज़ का प्रकार जैसे कि ड्राइविंग लाइसेंस शामिल है। उसके बाद एक लिंक में पहचान दस्तावेज़ की एक छवि शामिल होती है; उनमें से कुछ अमेरिकी ड्राइविंग लाइसेंस हैं।

गिज़मोडो ने टिप्पणी के लिए AU10TIX से संपर्क किया और अगर कोई जवाब आता है तो इस कहानी को अपडेट कर दिया जाएगा। जब 404 मीडिया ने टिप्पणी के लिए संपर्क किया, तो कंपनी ने आउटलेट को बताया कि "आपने जिस घटना का हवाला दिया है, वह 18 महीने पहले हुई थी। गहन जांच में पाया गया कि उस समय कर्मचारियों के क्रेडेंशियल अवैध रूप से एक्सेस किए गए थे और उन्हें तुरंत रद्द कर दिया गया।" हालांकि, 404 मीडिया का दावा है कि, सुरक्षा शोधकर्ता के अनुसार, इस महीने तक क्रेडेंशियल अभी भी काम कर रहे थे। जब उस जानकारी का सामना किया गया, तो AU10TIX ने कहा कि वह क्रेडेंशियल से जुड़े "संबंधित सिस्टम को बंद कर रहा है"।

उपयोगकर्ता डेटा तक संभावित रूप से पहुँच के विषय पर, कंपनी ने कहा: "जबकि PII डेटा संभावित रूप से सुलभ था, हमारे वर्तमान निष्कर्षों के आधार पर, हमें कोई सबूत नहीं मिला कि इस तरह के डेटा का शोषण किया गया है। हमारे ग्राहकों की सुरक्षा सबसे महत्वपूर्ण है, और उन्हें सूचित कर दिया गया है।"

AU10TIX की वेबसाइट के अनुसार , इसने कई अन्य बड़े, प्रमुख प्लेटफार्मों और ब्रांडों के साथ साझेदारी की है, जिनमें पेपाल, लिंक्डइन, कॉइनबेस, ईटोरो और अपवर्क शामिल हैं।