Il sogno dell'identità digitale in Brasile è appena diventato un incubo:
La recente violazione di FacePass, un'app brasiliana di riconoscimento e identificazione facciale, ha esposto profonde vulnerabilità nel crescente ecosistema di ID digitale. Oltre 1,6 milioni di file contenenti dati utente sensibili e credenziali di sistema interne sono rimasti non protetti in un bucket S3 di Amazon Web Services (AWS) non configurato correttamente, secondo i ricercatori di sicurezza informatica di Cybernews.

I dati esposti includono numeri di identità nazionali, selfie con verifica facciale, nomi completi, numeri di codice fiscale CPF, numeri di telefono e credenziali di accesso AWS, delineando un quadro preoccupante del rischio sia individuale che sistemico.

Mentre il Brasile si muove rapidamente verso l'integrazione della verifica biometrica e dell'identità digitale nella sua infrastruttura nazionale, questo incidente mette in luce quanto possano essere fragili tali sistemi di identità digitale, soprattutto perché sempre più paesi stanno spingendo per implementare questo controverso sistema.

Gli esperti di sicurezza informatica avvertono che i materiali trapelati potrebbero essere utilizzati come armi per furti di identità, frodi finanziarie e campagne di phishing altamente mirate. La possibilità di abbinare selfie a documenti di identità ufficiali aumenta significativamente il rischio di spoofing biometrico, in cui gli aggressori imitano i tratti fisici di una persona per aggirare i sistemi di autenticazione.

Ancora più preoccupante è l'esposizione delle credenziali AWS di FacePass, che avrebbero potuto offrire ai malintenzionati un percorso verso i sistemi più ampi dell'azienda.Questa lacuna è particolarmente preoccupante dati i recenti aggiornamenti degli strumenti Identity and Access Management (IAM) di AWS, strumenti che sono stati configurati in modo errato o ignorati. Quando le aziende non riescono a proteggere adeguatamente i sistemi stessi destinati a proteggere i dati biometrici, le conseguenze vanno ben oltre il semplice guasto tecnico: minano direttamente la fiducia degli utenti e la sicurezza pubblica.

Questa violazione non è un problema isolato, ma riflette un problema crescente e sistemico nel modo in cui le piattaforme di identità digitale sono progettate e gestite. I dati biometrici sono immutabili; non possono essere modificati come una password. Una volta trapelati, rimangono vulnerabili indefinitamente.Quando questi identificatori sono legati a database centralizzati, come spesso accade nei programmi di identificazione digitale, la posta in gioco è ancora più alta. Una violazione diventa un singolo punto di fallimento catastrofico, compromettendo potenzialmente milioni di identità in un colpo solo.

FacePass avrebbe affrontato il bucket AWS esposto dopo essere stato informato da Cybernews, ma non ha ancora rilasciato una dichiarazione pubblica sull'incidente. Questo silenzio illustra ulteriormente la mancanza di trasparenza che affligge molte piattaforme di identificazione biometrica e digitale. Senza una comunicazione chiara, responsabilità e solidi quadri di privacy, gli utenti sono lasciati a sopportare il peso della negligenza aziendale.
fonte