Pesquisadores expõem falha de segurança em números de seguridade social

Você postou sua data de nascimento e local de nascimento em qualquer uma de suas redes sociais? Se assim for, você pode ter fornecido informações suficientes para os hackers descobrirem o seu número de Seguro Social. Bem, em teoria, de qualquer maneira. Pesquisadores da Universidade Carnegie Mellon conceberam com sucesso uma maneira de adivinhar o número da Previdência Social usando a análise estatística.

Os pesquisadores da Carnegie Mellon Alessandro Acquisti e Ralph Gross dizem que o sistema de numeração da Previdência Social combinado com o uso disseminado de SSNs criou uma "arquitetura de vulnerabilidade" e é uma conseqüência inesperada da disponibilidade de informações pessoais básicas e do poder de computação moderno. O estudo será apresentado no dia 29 de julho, na conferência de segurança Black Hat deste ano, em Las Vegas.

Acquisti e Gross determinaram que o problema está em como os números da Previdência Social são construídos. Todos os S.S.N. tem três partes: número de área (AN); número do grupo (GN); número de série (SN). Todos os três componentes podem ser previstos com base na provável localização da sua residência no momento em que o seu S.S.N. foi aplicado para. Isso é possível já que a sequência de ANs e GNs de cada estado está disponível publicamente online e os SNs são atribuídos em ordem consecutiva.

[Leitura adicional: Como remover malware do seu PC Windows]

Os pesquisadores testaram sua teoria de adivinhar SSNs contra o arquivo mestre de morte de administrações de seguridade social. O DMF é um banco de dados publicamente disponível que lista os SSNs de pessoas que morreram

Embora a taxa de sucesso para prever SSNs fosse relativamente baixa, os pesquisadores conseguiram adivinhar corretamente os números em todo o país para pessoas nascidas antes de 1989, 0,08 por cento do total. o tempo em menos de cem tentativas.

Os números mais simples de predizer, entretanto, foram aqueles atribuídos em estados menores e pessoas nascidas depois de 1988. A razão é que, a partir de 1989, os números da Previdência Social foram atribuídos de acordo com a Enumeração. Iniciativa de nascimento, onde as pessoas receberam o seu número de Seguro Social no nascimento. O EAB aumentou a chance de identificar um S.S.N. dramaticamente desde que o local de nascimento de uma pessoa e a localização no momento em que o S.S.N foi pedido eram garantidamente idênticos. Além disso, uma população de estado menor reduz automaticamente o número de SSNs disponíveis, tornando provável uma estimativa mais provável.

Uma descoberta surpreendente foi que os pesquisadores da Carnegie Mellon conseguiram identificar um dos 20 SSNs completos em menos de dez tentativas. para pessoas nascidas em Delaware em 1996. Os pesquisadores também descobriram que podiam identificar corretamente os primeiros cinco dígitos de um SSN de qualquer um em uma única tentativa, 44% das vezes para indivíduos nascidos entre 1989 e 2003. Apesar de seus resultados, Acquisti e Gross alertam que seu método de colheita de S.S.N só poderia ser imitado por hackers sofisticados. Em um desses cenários, os pesquisadores discutem como criminosos com o algoritmo certo para adivinhar S.S.N.s para homens nascidos em West Virigina em 1991 e um botnet alugado contendo pelo menos 10.000 endereços IP (computadores zumbis), poderiam obter com sucesso o S.S.N. de até 47 pessoas por minuto. As circunstâncias teriam de ser ideais e executadas de acordo com uma ampla gama de variáveis ​​apresentadas por Acquisti e Gross, mas a pesquisa sugere que a coleta de identidade em larga escala seria possível com apenas duas informações pessoais básicas.

Soluções

Ilustração: Stuart Bradford Então qual é a resposta agora que o SSN falha foi provada? Acquisti e Gross argumentam que a tradição de usar o seu S.S.N. como um número de identificação pessoal para transações privadas, como abrir uma conta bancária ou se inscrever em um provedor de telefonia celular, deve ser substituído por um sistema mais seguro de identificação.

Usando o S.S.N. como meio de identificação pessoal é um procedimento contra o qual a Administração da Seguridade Social advertiu durante anos. No entanto, Mark Lassiter, representante da SSA, disse ao The New York Times que a Carnegie Mellon Research não é motivo de alarme. Lassiter disse que seria um "dramático exagero" sugerir que os pesquisadores "decifraram um código" para descobrir os S.S.N.'s. Lassiter também disse que a SSA atribuirá números usando um sistema de randomização a partir do próximo ano

Se você está preocupado em proteger sua identidade online, confira o "Guia para Proteger sua Identidade Online" da PC World.

Conecte-se com Ian Paul no Twitter (@ianpaul).