Experian-Fehler enthüllte gerade PINs, die Kreditdaten schützen

Kreditstopps sind der beste Weg, um Betrug bei neuen Konten zu verhindern, indem Kriminelle in Ihrem Namen falsche Konten eröffnen. Aber die Website eines Kreditbüros hat es schwer gemacht, die Sicherheit zu umgehen, die Ihre Kreditberichte schützen soll.

Die Website von Experian enthüllte die persönlichen Identifikationsnummern - die zum Auftauen des Guthabens erforderlichen PINs -, nachdem die Benutzer ihre Sicherheitsfragen mit einer pauschalen Antwort beantworteten: Keine der oben genannten.

Der Sicherheitsexperte Brian Krebs hatte vor mehr als einem Jahr einen ähnlichen Fehler gemeldet. Zu diesem Zeitpunkt mussten die Menschen die vier „wissensbasierten Authentifizierungsfragen“, die zu ihrer Identifizierung verwendet wurden, richtig beantworten. Das Problem bei dieser Methode besteht laut Krebs darin, dass die persönlichen Informationen, die erforderlich sind, um die Antworten erfolgreich zu erraten, online sowohl über kommerzielle als auch über kriminelle Websites verfügbar sind.

Aber für einige Stunden am Donnerstag - und wer weiß wie lange vorher - mussten Sie nicht einmal raten.

Ein Leser machte uns auf dieses Problem aufmerksam, und einige von uns, die Kreditstopps hatten, konnten es replizieren. Wir haben unsere Follower auf Facebook und Twitter gefragt und von anderen gehört, die auch Zugang zu ihren PINs hatten.

Fehler im normalen Prozess

Um die Zahlen zu erhalten, haben die Leute das Formular auf der PIN-Abrufseite von Experian mit Namen, Adresse, Sozialversicherungsnummer und Geburtsdatum einer Person ausgefüllt - genau die Art von Informationen, die bei der Equifax-Verletzung im letzten Jahr gefährdet war und die zum Verkauf bereitsteht im dunklen web. Das Formular benötigte eine E-Mail-Adresse, die nicht unbedingt diejenige sein muss, die mit dem Experian-Konto der Person verknüpft ist. Durch die Beantwortung der Sicherheitsfragen "Keines der oben genannten" - selbst wenn einige der Antworten richtig waren - wurde der Zugang zur PIN dieser Person ermöglicht.

Mit der PIN kann jeder das Einfrieren der Gutschrift dieser Person auftauen und eine Gutschrift in ihrem Namen beantragen.

Verbraucheranwalt Mike Litt konnte seine PIN auch anhand des Fehlers abrufen. "Es gibt absolut keine Entschuldigung dafür", sagt Litt, Kampagnendirektor der US-amerikanischen PIRG, einer Interessenvertretung im öffentlichen Interesse. "Wie lässt man die Schlüssel zur Tür oben auf der Willkommensmatte liegen?"

Ein Experian-Sprecher gab am Donnerstagnachmittag eine Erklärung ab, in der es heißt: „Obwohl wir sicher sind, dass unsere Authentifizierung sicher ist und keine Kreditdateien gefährdet sind, haben wir zusätzliche Schritte unternommen, um den Prozess sicherer zu machen. Wir überwachen unsere Systeme regelmäßig und ergreifen umgehend Maßnahmen, um die Datensicherheit zu erhöhen. “

Fehlermeldungen treten ein

Bis zum späten Donnerstag erhielten viele von uns die Fehlermeldungen, die unsere Antworten eigentlich hätten generieren sollen. Wir wurden angewiesen, Experian unsere identifizierenden Informationen zu senden, z. B. Kopien unserer Führerscheine, Stromrechnungen und Sozialversicherungskarten.

Für den Fall, dass dies gesagt werden muss, ist die US-Post kein sicherer Weg, um solche Informationen zu übermitteln. Da sich diese Angaben jedoch bereits in kriminellen Händen befinden, werden wir dies vorläufig belassen.

Dies ist ein weiterer Hinweis darauf, dass wir unsere Kreditberichte und Ergebnisse weiterhin auf betrügerische Konten überwachen müssen, selbst wenn wir Kredite einfrieren - wie wir es immer noch tun sollten.

Was wirklich beunruhigend ist, ist, dass Sicherheitsstopps eines der wenigen wirkungsvollen Bollwerke sein sollten, die Menschen gegen Betrug ankündigen können. Das ist der Grund, warum Sicherheitsexperten sie seit Jahren empfohlen haben, und warum der Kongress ab dem 21. September endlich Einfrieren und Auftauen zulässt.

Die Leichtigkeit, mit der dieser wesentliche Schutz durchkreuzt werden könnte, zeigt uns, dass die Kreditbüros die Sicherheit unserer Informationen immer noch nicht ernst genug nehmen.

Mitarbeiterin des Schriftstellers Bev O’Shea trug zu diesem Bericht bei.