Asos-hackare stjäl kunders födelsedatum som banker och callcenter använder för att bekräfta identitet

När nätbutiken Asos nyligen hackades stals kundernas födelsedatum – den enda uppgift som banker och kundtjänster fortfarande använder för att bekräfta att du är du. IT-säkerhetsexperter rekommenderar nu ett försvar som inget registreringsformulär uppskattar: lämna aldrig ut det riktiga datumet på nätet, eller ange ett falskt.

Ett födelsedatum i sig är värt litet för en brottsling. Kombinerat med namn, adress och telefonnummer blir det en gangsters nyckel till ditt liv – tillräckligt för en bedragare som utger sig för att vara banken att läsa upp uppgifter som övertygar offret om att samtalet är äkta. Alexandre François på underrättelseföretaget WhoisXML API granskade fjorton nätbutiker och fann att åtta begärde födelsedatum vid registrering. Butikerna behåller fältet, noterar han, för att det fullständiga datumet ger kundens ålder – användbart för marknadsföring och målgruppsanalys.

Serpil Hall på Datos Insights beskriver löpbandet som följer. Ett dataintrång hos en butik ger namn, födelsedatum, e-post och adress; andra läckta data tillför inloggningsuppgifter, telefonnummer och identifierare; offentliga profiler bidrar med arbetsuppgifter och anhöriga. Resultatet blir en berikad identitetsprofil – tillräckligt med överensstämmande uppgifter för att en bedragare ska kunna utge sig för att vara offret hos ett företags kundtjänst.

Obalansen är strukturell. Kundklubbar, nyhetsbrev och tävlingar frågar efter födelsedatum därför att det kostar insamlaren inget att lagra uppgiften, medan den ger en ålder som kan användas för riktad marknadsföring. Den person vars uppgifter hamnar på svarta nätet står för förlusten. Kostnaden för datalagring och risken vid ett läckor ligger alltså hos olika parter – ett klassiskt exempel på hur den som samlar data aldrig får bära konsekvenserna av sina egna beslut. Säkerhetsbranschens botemedel riktar sig i stället till individen: ange falskt födelsedatum på lågriskwebbplatser, använd en separat e-postadress för onlineshopping så att den kan kasseras efter ett dataintrång, och hoppa över varje fält som inte är obligatoriskt.

Jake Moore, rådgivare på säkerhetsföretaget ESET, påpekar att ett födelsedatum endast är nödvändigt där det kontrolleras mot officiella register – till exempel när man köper en kniv på nätet. En butik behöver i övrigt bara ett betalkort och en leveransadress. För allt annat ställer formuläret frågan enbart för att marknadsavdelningen ska veta hur gammal kunden är.

Frågan är varför lagstiftaren, som annars så gärna reglerar enskilda medborgares liv, låter företag skörda personuppgifter utan att ställa krav på minimiprinciper. När ansvaret i stället skjuts över på den enskilde – som uppmanas att ljuga i formulär – är det ett tecken på att skyddet egentligen inte finns.