TuLotero bestätigt Leck bei Ausweisen und Selfies

TuLotero verliert deinen Personalausweis und dein Verifizierungs-Selfie

Bevor ein Anbieter dich bittet, ein Selfie mit dem Ausweis in der Hand zu machen, sollte er beweisen können, dass er diese Daten sicher aufbewahrt. TuLotero hat gerade das Gegenteil bewiesen: Die Online-Lotterieplattform bestätigte vor einigen Tagen einen Hack, bei dem Personalausweise (DNI) und die Verifizierungsbilder ihrer Nutzer durchgesickert sind. Das Unternehmen versichert, dass keine Bankdaten oder Passwörter gestohlen wurden, hat aber bereits Strafanzeige bei der Policía Nacional erstattet.

Das Problem ist nicht das Passwort, sondern die Biometrie

Die Sicherheit eines Systems wird an seiner schwächsten Stelle gemessen. Passwörter kann man ändern; einen Personalausweis nicht, und ein Gesichtsbild, das mit einem offiziellen Dokument verknüpft ist, noch weniger. Das als KYC bekannte Verifizierungssystem zwingt Kunden dazu, ihren Ausweis und ein Selfie hochzuladen. Genau dieses biometrische Material wurde nun offengelegt. Der Leak dieser Daten ermöglicht Identitätsbetrugsszenarien, die kein Passwort-Update lösen kann.

Kann man mit einem geleakten Ausweis einen Gewinn kassieren?

Es gibt Einschätzungen, die die Panik relativieren. Um einen relevanten Gewinn abzuholen, reicht es nicht, nur ein Dokument vorzulegen: Man braucht das physische Los und eine vollständige persönliche Identifikation. Der Leak eines Personalausweises scheint nicht auszureichen, um fremde Gewinne abzugreifen. Eine andere Sache ist der Rest des digitalen Lebens: Mit einem offiziellen Dokument und einem Selfie wächst die Möglichkeit, jemanden bei anderen Verfahren zu imitieren, erheblich.

Die offene Frage bleibt, wie viele Unternehmen so sensible Daten ohne die nötige Sicherheitsinfrastruktur ansammeln. Lohnt es sich wirklich, sein Gesicht und seinen Ausweis für ein digitales Los herauszugeben?