150 மில்லியன் DL புகைப்படங்கள் லீக்: ID verification தரவுகளில் என்ன சிக்கல்?

என்ன நடந்தது?#

ஒரு identity theft search platform publicly-ஆ யாராவது ஒரு phone number, address, official identity documents-அ ஒரு major ID verification firm-க்கு match பண்ணி கண்டுபிடிக்க முடியும்னு allow பண்ணியிருந்தது. TechCrunch-ன் report-படி இந்த மாதிரி service-ல இருந்து தான் 150 மில்லியன்க்கும் மேற்பட்ட driver license photos-அ leak ஆனதா சொன்னாங்க. ஆனால் இந்த மாதம் அந்த platform திடீர்னு dark ஆச்சு. அதாவது, அது shut down ஆகிடுச்சு.

அப்புறம் என்ன சோகம்னா, அந்த crime site-ல store பண்ணியிருந்த archive-ும் இப்போ inaccessible. hacker-கள் எப்படி அந்த photos-அ எடுத்தாங்க, யார் ல் இருந்து எடுத்தாங்கன்னு independent researchers-ஆல count பண்ணி confirm பண்ண முடியாது. secondhand claims-அ தான் நம்பணும். இது verify பண்றதுக்கு ரொம்ப கஷ்டமான cyber breach. ஒரு average data breach மாதிரி கிடையாது. audience லாட் பெருசு.

இந்த breach-ல bank accounts, restaurant apps, ridesharing apps, gig economy platforms-க்கு சம்பந்தப்பட்டது மட்டுமில். காரணம், identity verification solution-அ use பண்ற அனைத்து clients-அயும் data drag பண்ணியிருக்கும். hacker-க்கள் இதுல மட்டும் நிக்க மாட்டாங்க. அதுதொடர்ந்து பாதிப்பு வரும். metadata-வும் leak ஆகிருக்கலாம். அதாவது, photos-ஓடவே அந்த address, date of birth, DMV number-லாம் வந்திருந்தா, pattern matching easy.

TechCrunch-ன் report-படி, அந்த platform strangers-க்கு phone number, address, official identity documents-அ lookup பண்ற ability கொடுத்திருந்தது. imagine that - �ங்கள் முகமும், உங்கள் ID-யும், உங்கள் phone number-ும், ஒரு குற்றவியல் தளத்தால index ஆகியிருந்தது. இது யாரும் ignore பண்ண முடியாது.

சில analysts conjecture பண்றாங்க, இது ஒரு publicly exposed storage bucket, compromised API key, அல்லது third-party breach மூலமா data upstream ஆகி இருக்கலாம். pipeline-ல இருக்கும்போது encryption இல்லையா, re-encryption இல்லையான்னு கூட தெரியாது. breach discovery கஷ்டமா இருக்கு.

இது என்ன / எப்படி வேலை செய்யும்?#

அப்புகளை open பண்ணி KYC-க்கு ID upload பண்ணும்போது என்ன ஆகும்? சும்மா போட்டோவை save பண்றதா? இல்ல. ஒரு ID vendor typical-ஆ state driving license portals, utility bill scans, merchant invoice archives-ல இருந்து data-அ aggregate பண்ணுவான். user upload பண்ணும் போது, backend-ல அது facial recognition APIs-ல போய், liveness detection-� test பண்ணி, identity document-அ பல parameters-அல verify பண்ணும்.

அதாவது, ஒரு selfie எடுத்து அதை licensed photo-கூட match பண்ணும், நீங்க தான் real person-ஆன்னு confirm பண்ண கோடு ஓடும். ocr engine �ண்கள், முகத்தோட topology-அ read பண்ணும். if attacker bulk read access பெற்றிருந்தா, millions passport quality imageres-அ mirror பண்ண முடியும். ஒரு public storage bucket-ல open-ஆ இருக்கலாம், ஒரு compromised API key மூலமா இருக்கலாம், அல்லது third-party breach-ன் வி�ைவாவும் இருக்கலாம்.

Liveness detection என்ன?

அது வெறும் static photo-அ match பண்றதா? இல்ல. AI-க்கு உங்களை live-� பார்க்கனும். அதாவது, selfie எடுக்கும்போது கண்கள மாற்றி விரிக்கணும், தலை திருப்பணும், புன்னகை செய்யணும். அப்படின்னா AI-க்கு மக்கள் live-ஆ இருக்காங்கன்னு தெரியும். இது spoofing-அ prevent பண்றதுக்காக. internet-ல photo screenshot-அ upload பண்ணி fake account create பண்றது இந்த detection-அ மீறிக்கணும்னா கடினம்.

Example: நம்மா ஊரு Zomato-ல delivery boy-அ register பண்ண சொல்லு�ும்போது, selfie-யும் DL-யும் upload பண்�ு. system திரும்பவும் photo-கூட database-ல match பண்ணி liveness ask பண்ணும். அப்படின்னா UI-ல code ஓடும்.

இந்தியாவுக்கு என்ன?#

நம்ம இந்தியால UPI apps, Flipkart delivery onboarding, Jio official services, telecom SIM activation-னு பல services ID verification-அ rely பண்ணுது. face-match APIs use பண்றாங்க. இந்தப் புகைப்படங்கள் மட்டும் leak ஆனா, fake accounts create பண்லாம், SIM swap fraud நடக்கும், financial fraud-க்கு use ஆகும். identity theft-ல முதல் step-ஆ இருக்கு.

Example: Jio recharge app-ல KYC பண்ணும் போது selfie-யும் DL photo-வும் upload பண்ணனும். அதே time-ல, third-party vendor-கிட்ட photo செல்லும். photo leak ஆனா, troll-a SIM swap பண்லாம். infringed ID-அ வச்சு new bank account open பண்ணி loan எடுக்கலாம். document forgery-க்கும் இது raw material-ஆ அமையும்.

India-ல masses-க்கு digital onboarding தான் fast-ஆ இருக்கு. but convenience vs security-அ �மே decide பண்றோம். government schemes-க்கு ID verification என்றால், same pipeline-ல centralised risk கூட அதிகம். details leak ஆனா beneficiary-அ fooled பண்ணலாம். data aggregation-ன் effect இருக்காது, கஷ்டம்.

Flipkart delivery onboarding-ல part-time worker-கள் verification-க்கு civilian-கிட்ட face-match app-அ use பண்றது common. leak ஆனால், fake delivery worker accounts create ஆகி, fraud parcel network-அ run பண்�லாம். social engineering-க்கும் இது source. KYC-ல் small apps-ல major-ஆக risk வரும். hackers target பண்ணுவது small gold.

எனக்கு டவுட்டா: India-ல enforcement நடக்கணுமா? DPDP Act-ப்படி report பண்ணனும். but regulator-கிட்ட real-time visibility இல்ல. incidents weeks-ல தான் clear ஆகும் typology. gap இருக்கு.

நமக்கு என்ன தெரிஞ்சுக்கணும்?#

scale of breach-அ trace பண்றது கஷ்டம். site offline-ல இருக்கு. இது third-party dependency failure. Google Maps-அ embed பண்ணுனா, API hole-ன் impact remote-ஆ இருக்கும். ease-ஆ hack பண்ணியா.

India-ல DPDP Act 2023-ன் framework-ப்படி vendor-level breach-அ 72 hours-ல report பண்ண வேண்டியது organization-ன் duty. ஆனால் photo dump-கள் இதுக்குள் classify ஆகுறதா? என்ற doubt இருக்கு. unverified vendor-கள் ன்னு prove பண்�ும் போது, entities-க்கு digital trail இருக்காது. அது பிரச்சனையா இருக்கு.

Prevention-க்கு: whenever you upload ID online, check if the service is hashing, encrypting, doing session-bound checks. �nd-to-end not just stored in cloud bucket. session-bound என்றால், photo-அ அடுத்திறவர் access பண்ண முடியாது. Banks, fintech apps, gig economy platforms regular security audits பண்றது முக்கியம். user level-ல, real ID photo-அ public domain-ல upload பண்றதுக்கு முன்னாடி யோசிங்க. social media-ல அவ்ளவா post பண்ணாதீங்க. hard copy-� waste பண்றது safer.

credit monitor பண்ணுங்க. எல்லா apps-லயும் same mobile number, same ID details reuse பண்ணாதீங்க. obscure email, VoIP number use பண்ணு. temporary access பண்றது footprint track.

hoax avoid பண்றது important. panic பண்ணாதீ�்க. but low-trust app-ல ID upload பண்றதுக்கு முன்னாடி unverified vendor track record check பண்ணு. public audit trail-�ப traceability-அ ask பண்ணு. technology alone solve பண்� முடியாது. human oversite வேண்டும்.