Los datos de KYC son un cebo irresistible para los hackers, y debemos cambiar la forma en que se recopilan

Un servicio de la web oscura es supuestamente ofrece más de 153 millones de registros de licencias de conducir estadounidenses y canadienses a la venta, y el FBI está investigando una aparente violación de datos que involucra al proveedor de verificación de identidad IDScan.net. Este es otro caso más donde algunos de los mismos mecanismos que supuestamente están destinados a proteger al público estadounidense están siendo utilizados para dañarlo. El problema es claro: los procesos actuales contra el fraude que requieren la identificación y verificación del cliente potencian la actividad fraudulenta al entregar a los criminales su información sensible en bandeja de plata.

Los ciberataques dirigidos a la información de identificación personal (PII, por sus siglas en inglés) han sido prevalentes durante algún tiempo y solo están empeorando. En 2017, Equifax — una de las agencias de informes crediticios más grandes en EE.UU. — sufrió un ciberataque que llevó al compromiso de la información personal sensible de casi 148 millones de estadounidenses. Casi el 45 % de los estadounidenses tuvo sus datos robados. El Departamento de Justicia alegó que el Ejército Popular de Liberación de China estaba detrás del hackeo en una acusación de 2020, pero esto fue simplemente un parche para el problema subyacente y cada vez más prevalente.

Laz Pieper es el director de investigación en Coin Center, una organización que defiende los derechos de los individuos para construir, utilizar y ensamblar redes punto a punto libres y abiertas, así como el derecho a hacerlo de manera privada.

La mayoría de las personas probablemente no haya oído hablar de IDScan, pero han entregado una licencia de conducir a negocios que utilizan su tecnología y servicios. Como su nombre indica, IDScan se especializa en la verificación de identificación y ofrece hardware y software que escanean, analizan y autentican identificaciones para agencias de alquiler de autos, bancos, hoteles, casinos, dispensarios de cannabis, minoristas y otros negocios. Sus sistemas pueden capturar imágenes delantera y trasera, extraer información personal, comparar la fotografía de una identificación con una selfie y transmitir o almacenar los datos resultantes en un portal en la nube para que las empresas puedan continuar accediendo a ellos después de la autenticación.

Las tecnologías en desarrollo ofrecen la posibilidad de un mejor enfoque. En lugar de exigir repetidamente a los estadounidenses que entreguen copias completas de su identificación, los sistemas que preservan la privacidad podrían permitir a las personas demostrar únicamente lo que un servicio necesita saber —como su edad, elegibilidad o autoridad sobre una cuenta— mientras mantienen la información subyacente bajo su control.

Estas tecnologías aún están en desarrollo, pero los reguladores federales deberían otorgar a las instituciones espacio para probarlas y actualizar los requisitos existentes a medida que maduren. Además, a medida que surjan más enfoques que preserven la privacidad, el Congreso debería reducir los requisitos innecesarios de recopilación y retención de información. Los procesos antifraude siguen siendo valiosos, pero pueden existir sin un expediente permanente para que los delincuentes lo roben.

De manera más urgente, Washington y los diversos gobiernos estatales deberían detener cualquier legislación o regulación que extienda los requisitos de identificación y verificación a áreas donde no existen actualmente ni son necesarias. Debe cesar el impulso hacia la verificación de edad del software de código abierto y de internet; esto pone en peligro a los estadounidenses comunes y empodera a criminales y adversarios extranjeros, mientras que incumpliendo con la protección de los niños.

Las violaciones como esta son prevenibles; solo debemos querer prevenirlas. Las herramientas para hacerlo comienzan a surgir y, en los casos en que no sea necesario verificar a alguien, deberíamos evitar hacerlo. Porque la mejor forma de proteger la información personal sensible es no recopilarla en absoluto.

Nota: Las opiniones expresadas en esta columna son las del autor y no necesariamente reflejan las de CoinDesk, Inc. o sus propietarios y afiliados.