Кребс з безпеки

Більшість людей, які заморозили свої кредитні файли з Equifax були видані числовий персональний ідентифікаційний номер (PIN), який, як передбачається, потрібно, перш ніж заморозити можна підняти або розморозити. На жаль, якщо у вас ще немає облікового запису в кредитному бюро myEquifax portal , це може бути простим для ідентифікаційних злодіїв, щоб зняти існуючу кредитну заморозку в Equifax і обійти PIN, озброєний трохи більше, ніж ваш, ім'я, номер соціального страхування і день народження.

Споживачі в кожному штаті США можуть безкоштовно заморозити свої кредитні файли за допомогою Equifax і двох інших великих бюро ( Trans Union і Experian ). Замерзання робить його набагато важче для ідентифікаційних злодіїв, щоб відкрити нові кредитні лінії на ваше ім'я.

Після епічного порушення даних Equifax за 2017 рік, що впливає на близько 148 мільйонів американців, багато людей заморозили свої кредитні файли на велику трійку у відповідь. Але з того часу Equifax змінив кілька речей.

Прагнучи керувати моїм власним кредитним заморожуванням в equifax.com, як я робив у минулі роки, я керувався створенням облікового запису на myequifax.com, який я був вражений, коли раніше не мав.

Отримання рахунку на myequifax.com було легким. Насправді це було дуже легко. Портал звернувся до мене за адресою електронної пошти і запропонував довготривалий, рандомізований пароль, який я прийняв. Я вибрав стару адресу електронної пошти, яку я знав, що не був безпосередньо пов'язаний з моєю реальною ідентичністю.

На наступній сторінці мені запропонували ввести мою SSN і дату народження, а також поділитися телефонним номером (обмін був необов'язковим, тому я цього не зробив). Дані SSN і DOB широко доступні для продажу в кіберзлочинності під землею майже всіх громадян США. Це стало реальністю протягом багатьох років, і було настільки задовго до того, як Equifax оголосив про свій великий прорив у 2017 році.

myEquifax сказав, що не зміг переконатися, що моя адреса електронної пошти належала Брайану Кребсу в SSN і DOB. Потім він запитав ряд чотирьох питань безпеки - так звані "аутентифікація на основі знань" або питання КБА, спрямовані на те, щоб дізнатися, чи можу я згадати біти про мою недавню фінансову історію.

Загалом, дані, що запитуються в цих вікторинах KBA, вибираються з публічних записів, а це означає, що ця інформація, ймовірно, є загальнодоступною в певній формі - або цифровою, або особистою. Дійсно, я довго нападали на галузь КБА як створення помилкового почуття безпеки, яке легко обходиться шахраями.

Однією з потенційних проблем, пов'язаних із запитаннями KBA для автентифікації користувачів онлайн, є те, що велика кількість інформації, необхідної для успішної оцінки відповідей на ці запитання з множинним вибором, тепер індексується або виставляється пошуковими системами, соціальними мережами та службами третіх сторін в Інтернеті кримінальні та комерційні.

Перші три багатозначні запитання, про які попросили мій Еквіфакс, стосувалися позик або боргів, яких я ніколи не мав. Таким чином, відповідь на перші три запитання КБА полягала в тому, що “нічого з вищезазначеного”. Остаточне запитання було поставлено перед нашою останньою іпотечною компанією. Знову ж таки, інформацію, яку не важко знайти.

Задоволений моїми відповідями, Equifax повідомив мені, що так, дійсно, я був Брайан Кребс, і що я тепер міг управляти своїм існуючим заморожуванням з компанією. Після запиту відлиги, я був приведений до старовинної сторінки Equifax, яка виглядала нічим не схожим на нове онлайн-оперення myEquifax.

Сайт Equifax говорить, що він вимагатиме від користувачів, які запитують зміни до існуючого кредитного заморожування, мати доступ до свого PIN-коду заморожування і бути готовими до його постачання. Але Equifax ніколи не запитує PIN-код.

Ця сторінка повідомила мені, що якщо я раніше зафіксував свій кредитний файл з Equifax і отримав PIN-код, необхідний для скасування цього статусу, я повинен бути готовий надати зазначену інформацію, якщо я запитую зміни по телефону або електронною поштою.

Іншими словами, заморожені кредити та відлиги, що вимагаються через myEquifax, не вимагають від користувачів надавати будь-який попередній PIN-код .

Добре, сказав я. Давай зробимо це.

myEquifax тоді попросив про діапазон дат просив розтопити моє кредитне заморожування. Надіслати.

"Ми успішно обробили запит на заморожування безпеки!", - заявив сайт.

Це також вигукувалося в електронному листі на випадкові старі адреси, які я використовував у myEquifax, хоча сайт ніколи не робив жодних спроб підтвердити, що я мав доступ до цієї папки "Вхідні", що можна зробити, просто надіславши посилання для підтвердження, яке потребує для активації облікового запису.

Крім того, я помітив, що Equifax додав мій старий мобільний номер до мого облікового запису, хоча я ніколи не надав цю інформацію і не використовував цей телефон, коли я створив myEquifax рахунок.

Успішно розморожуючи (тимчасово розморожуючи) моє кредитне заморожування не вимагало від мене ніколи постачання моїм раніше виданим PIN-кодом заморожування від Equifax. Той, хто знав найменші й найвідоміші відомості про мене, міг би зробити те ж саме.

myEquifax.com наразі не намагається перевірити обліковий запис, запитавши підтвердження через телефонний дзвінок або текст на номер телефону, пов'язаний з обліковим записом (також, нагадаємо, що навіть надання номера телефону було необов'язковим).

На щастя, я зрозумів, що коли я використовував інший комп'ютер і інтернет-адресу, щоб спробувати відкрити інший обліковий запис під моїм ім'ям, датою народження і SSN, він повідомив мені, що вже існує профіль для цієї інформації. Це говорить про те, що підписка на myEquifax, мабуть, є гарною ідеєю, враховуючи, що альтернатива більш ризикована.

Створити мій обліковий запис було дуже легко, але я не кажу, що всі зможуть створити його в Інтернеті. Під час тестування з кількома читачами протягом останніх 24 годин myEquifax, здається, повертає на сторінку KBA набагато більше сторінок помилок, що спонукає людей спробувати пізніше або зробити запит електронною поштою або телефоном.

Представник Equifax Ненсі Бізріц-Балкан заявила, що не вимагає використання PIN-коду для людей з існуючими заморозками.

«З myEquifax ми створили онлайн-досвід, який дає можливість споживачам безпечно і зручно керувати заморозками безпеки та оповіщеннями про шахрайство», - сказав Бистриц-Балкан.

"Ми розгорнули досвід, який охоплює як стандарти безпеки (використовуючи багатофакторний і багаторівневий підхід для перевірки ідентичності споживача), так і відображає конкретні відгуки споживачів щодо управління зависаннями безпеки та онлайн-оповіщеннями про шахрайство без використання PIN-коду", - продовжила вона. "Процес налаштування облікового запису, який передбачає створення імені користувача та пароля, залежить від вхідних даних користувача та інших факторів для надійного встановлення, перевірки та аутентифікації того, що ідентифікація споживача кожного разу підключається до споживача." Продовжити читання →