O regulador de telecomunicações Icasa deve incentivar ou proibir que operadoras móveis e outras empresas privadas armazenem, troquem ou correspondam impressões digitais de clientes, bem como utilizem impressões deixadas por fraudadores em operações malsucedidas de troca de cartão Sim, como provas para a polícia.
Qualquer vazamento do banco de dados de impressões digitais de uma empresa privada pode causar danos irreparáveis que não podem ser compensados com multas ou desculpas. Ao contrário de uma senha ou cartão bancário, uma impressão digital não pode ser cancelada; assim que se torna acessível, fica comprometida para sempre junto com todos os bancos e telefones em que confia. As consequências para os consumidores e a segurança pública podem ser catastróficas.
De acordo com o projeto de regulamentos publicado pela Icasa no Gazette Oficial em 28 de outubro, ao ativar ou trocar um cartão Sim, a impressão digital ou rosto da pessoa é verificada contra os registos das autoridades policiais, e os assinantes existentes têm dois anos para verificação. Operadoras que aprovarem a troca para a pessoa errada enfrentarão multas de R2 milhões a R4 milhões por violação.
Em um memorando próprio, a Icasa indica que o número de assinaturas móveis na África do Sul é de 117,3 milhões. Dados dessa magnitude se tornarão alvo no momento em que qualquer empresa privada começar a armazená-los, e a perspectiva de armazenar impressões digitais para tal número de conexões, se permitida pelas regras finais, deve preocupar cada consumidor e banco no país.
Embora a verificação biométrica através das autoridades policiais seja um passo correto, os regulamentos finais devem indicar claramente que nenhuma empresa privada tem o direito de armazenar a impressão digital real do cliente. A única entidade que deve armazenar a impressão digital de um residente sul-africano devem ser as autoridades policiais. Nenhuma empresa privada deve ser forçada a coletar impressões digitais, e ninguém deve ser autorizado a armazená-las ou trocá-las.
Espera-se que criminosos ataquem o novo sistema tanto online quanto pessoalmente. Online, eles visam quaisquer bases de dados contendo impressões digitais, injetam malware em scanners em lojas, interceptam scans durante a transmissão, enviam mensagens de phishing pedindo para 'verificar' seu cartão Sim com impressão digital ou selfie, e usam deepfakes para passar em verificações faciais remotas.
No mundo físico, funcionários corruptos ou agentes podem copiar scans ou aprovar substituições mediante pagamento, e agentes falsos de verificação podem coletar impressões digitais durante o período de revalidação de dois anos. Impressões digitais podem ser retiradas de óculos e telas de telefones, vítimas podem ser forçadas a digitalizar o dedo durante assaltos, e insiders em governos ou organizações contratadas podem alterar ou vender registros de identificação.
Soluções Alternativas
Cada uma das abordagens apresentadas abaixo permite que a operadora confirme a identidade do cliente sem armazenar sua impressão digital. Nenhum desses métodos é experimental, e versões de cada um já estão em uso.
Uma opção são os tokens de impressão digital de revogação. Uma técnica chamada 'fuzzy extractor' transforma um scan de impressão digital em uma chave secreta estável, mesmo que dois scans nunca sejam idênticos. A operadora armazena apenas um hash salgado dessa chave, e não a impressão digital em si. Cada rede recebe um token exclusivo, portanto, vazamentos de banco de dados não podem ser ligados, e um token comprometido pode ser revogado e reemitido, semelhante a uma senha.
Outro método é o armazenamento de impressões dentro do cartão Sim. Um modelo protegido de impressão digital está localizado em um chip seguro do cartão Sim, o que é uma abordagem já usada em cartões bancários com impressão digital. A correspondência ocorre diretamente no chip, e a rede recebe apenas uma resposta assinada de 'sim' ou 'não'. A terceira opção é a correspondência criptografada com as autoridades policiais. O scan é criptografado antes de sair do scanner e comparado com o registo das autoridades policiais em formato criptografado. Apenas o resultado assinado de correspondência ou ausência de correspondência é retornado, portanto, nem a operadora nem quem intercepta o tráfego vê a impressão digital, e ela nunca é armazenada.
A quarta abordagem são chaves que nunca saem do telefone. O scan de impressão digital ou rosto pode simplesmente desbloquear uma chave criptográfica armazenada no próprio chip seguro do telefone, o que corresponde ao princípio de funcionamento das chaves de acesso já presentes nos dispositivos Apple e Android. A rede ou o banco recebe uma confirmação assinada dessa chave, e não os dados biométricos. Como a confirmação está vinculada ao dispositivo e não ao número de telefone, a troca fraudulenta de cartão Sim por si só não adianta nada ao invasor. A Agência de Cibersegurança e Infraestrutura dos EUA já recomenda autenticação resistente a phishing semelhante a esta, em vez de códigos enviados por SMS.
Nenhum desses métodos é teoria. Depois que a Índia implementou mais de um bilhão de pessoas em seu sistema de identificação Aadhaar, cópias de dados de identificação espalhadas por bancos e empresas de telefonia móvel tornaram-se um ponto fraco. Sua solução foi a tokenização: os cidadãos podem apresentar um identificador virtual de revogação de 16 dígitos, e cada empresa recebe um token exclusivo que não pode ser ligado entre bancos de dados ou rastreado até a biometria. A Índia teve que adaptar esse sistema. A África do Sul pode construí-lo do zero.
Independentemente dos métodos escolhidos pelas operadoras, eles devem ser acompanhados por notificações por SMS para o número existente, notificação por e-mail e suspensão de 24 horas de PINs bancários descartáveis após cada troca de cartão Sim. Os bancos podem fazer mais agora: interfaces de rede padronizadas já lhes permitem verificar em tempo real se uma conta foi alterada recentemente, sem coletar quaisquer dados biométricos. Uma nova troca deve ser vista como motivo para congelar transações de alto risco até que o cliente confirme.
As mesmas regras podem ajudar a polícia a prender as pessoas por trás da fraude de troca de cartão Sim. Um scan que não corresponda ao proprietário da conta pode vir de um fraudador que apresenta sua própria impressão digital ou rosto no local do suposto crime. Ou pode vir de um cliente honesto, como um aposentado ou trabalhador cujas impressões desapareceram, ou de alguém usando um scanner defeituoso.
Portanto, nosso conceito padrão é excluir dados, não punir. Cada scan malsucedido será criptografado de forma que nenhuma empresa privada possa abri-lo ou excluí-lo, e será armazenado por 14 dias por um guardião independente juntamente com a loja, funcionário, dispositivo e hora. Será transmitido apenas às unidades de cibercrime da Polícia da África do Sul mediante ordem judicial. Se o cliente, banco, loja ou operadora não iniciar um processo criminal dentro desse período, o scan será automaticamente excluído. Durante anos, criminosos se esconderam atrás de documentos de identidade roubados. Com a verificação biométrica, cada tentativa de troca deixa sua biometria no balcão, e essas provas pertencem aos investigadores.
Segurança é responsabilidade da indústria, não do cliente
Por muito tempo, o fardo da segurança recaiu sobre os clientes, que são instruídos a proteger seus PINs, enquanto os criminosos invadem os sistemas ao redor deles. A Icasa está correta ao impor multas. Operadoras, bancos, varejistas e instituições governamentais devem contratar 'red teams' e engenheiros de segurança para atacar seus próprios sistemas antes que os criminosos o façam. A prevenção também requer a participação da polícia e de unidades especializadas em cibercrime para desvendar esses casos e responsabilizar os culpados, pois os criminosos param quando esperam ser pegos.
Acreditamos que a Icasa deve definir os resultados esperados, deixando os métodos a critério das operadoras, em vez de prescrever técnicas técnicas específicas na lei. Os métodos de fraude mudam mais rápido do que a regulamentação, e a técnica codificada na lei hoje se tornará um alvo público amanhã.
Já existe um padrão internacional para a proteção de informações biométricas — ISO/IEC 24745, que exige que os dados biométricos armazenados não possam ser revertidos ou ligados entre bancos de dados, e que possam ser revogados. A Icasa poderia adotar esses testes como critério que qualquer método proposto deve atender, independentemente da tecnologia subjacente.
Propomos que a Icasa considere confidencialmente os métodos de combate à fraude, analisando cada caso individualmente, aprovando ou rejeitando-os sem publicar detalhes que poderiam ser estudados pelos criminosos.
