153 mln praw jazdy w wycieku: pozwy przeciw IDScan

Pozwy zbiorowe przeciw IDScan po wycieku 153 mln praw jazdy

Firmy prawnicze Markovits, Stock & DeMarco oraz Hall Attorneys wszczęły dochodzenia w sprawie potencjalnych pozwów zbiorowych przeciw IDScan, po tym jak hakerzy mieli włamać się do usługi i zaoferować sprzedaż ponad 153 mln praw jazdy. Brian Krebs poinformował 1 września, że działający w dark webie serwis kradzieży tożsamości Nexus reklamował dostęp do skanów praw jazdy z USA i Kanady, 10 mln dowodów osobistych, 3 mln dokumentów podróży i 579 tys. kart medycznych. Krebs zweryfikował próbki, odnajdując własne dane, i powiązał wyciek z IDScan.

IDScan dostarcza sprzęt i oprogramowanie do skanowania i weryfikacji dokumentów tożsamości, używane m.in. przez wypożyczalnie samochodów, sklepy z bronią i placówki finansowe. Pozwy złożono w Luizjanie, gdzie ma siedzibę IDScan, a dotyczą one m.in. danych klientów firmy Hertz. FBI z Nowego Orleanu prowadzi śledztwo w tej sprawie. Serwis Nexus nie działa już online, ale cyberprzestępcy wciąż mają dostęp do bazy. IDScan nie opublikował oświadczeń i nie odpowiedział na prośby o komentarz.

IDScan sued over alleged data breach affecting 153 million drivers →

Włamanie do chmury Thomson Reuters ujawniło zapieczętowane akta sądowe

Nieupoważniona osoba spędziła około czterech miesięcy w środowisku chmurowym Thomson Reuters, wykradając pliki z platformy C-Track do zarządzania sprawami sądowymi, zanim wykryto włamanie 30 czerwca 2026 roku. Naruszenie ujawniono publicznie 2 września. Dostęp uzyskano do danych z co najmniej 13 stanów USA, Wysp Dziewiczych i trzech sądów w Ontario, w tym do zapieczętowanych akt. Atak rozpoczął się w marcu 2026 roku.

Władze sądowe w Alabamie, Ohio i Montanie krytykują opóźnienia w powiadomieniach i brak szczegółów. Minnesota zerwała współpracę z Thomson Reuters, a stan Północna Dakota potwierdziła aktywne śledztwo karne. Firma oferuje 12 miesięcy bezpłatnego monitoringu kredytowego. Potencjalnie ujawnione dane obejmują nazwiska, numery ubezpieczenia społecznego, daty urodzenia oraz informacje medyczne. Thomson Reuters twierdzi, że C-Track pozostaje w pełni operacyjny i wdrożono dodatkowe środki bezpieczeństwa.

Sealed Court Records Breached When Thomson Reuters Lost Control of Its Cloud →

Mullvad wyłącza publiczne serwery DNS, sponsoruje Quad9

Mullvad ogłosił 3 września zakończenie działania publicznych, szyfrowanych serwerów DNS over HTTPS, które prowadził od 2022 roku. Firma przekieruje zasoby na finansowe wsparcie fundacji Quad9, uznając ją za niekwestionowanego lidera w tej dziedzinie. Mullvad podkreśla, że publiczne serwery DoH są zbędne dla subskrybentów VPN, których ruch jest już szyfrowany i obsługiwany przez wewnętrzne routowanie DNS.

Użytkownicy polegający na publicznych serwerach Mullvad po rozłączeniu z VPN muszą migrować przed 2 listopada 2026 roku. Użytkownicy przeglądarki Mullvad z domyślnymi ustawieniami DoH zostaną automatycznie przeniesieni do Quad9, ale ci, którzy zmodyfikowali ustawienia, muszą zresetować je do domyślnych. Posiadacze profili konfiguracyjnych na iOS i macOS muszą zastąpić je profilami Quad9 przed terminem.

Mullvad VPN axes its public encrypted DNS service to sponsor Quad9 instead →

Rada Europy: wytyczne dot. prywatności i modeli językowych dla 55 państw

Rada Europy opublikowała projekt agendy potwierdzający, że wytyczne dotyczące prywatności i dużych modeli językowych trafią pod obrady Biura Komitetu Konsultacyjnego Konwencji 108 w dniach 16-17 września w Paryżu. Formalne przyjęcie zaplanowano na posiedzenie plenarne w listopadzie. Projekt interpretuje zobowiązania Konwencji 108+ dla systemów AI, obejmując 55 państw, w tym kraje spoza UE.

Wytyczne obejmują sześć etapów cyklu życia modelu, od tworzenia po wycofanie. Raport ekspertów dokumentuje przypadki, gdy modele reprodukowały dane osobowe z treningu, oraz koszt ekstrakcji informacji osobowych. Wskazuje, że usuwanie danych z wag modelu bez ponownego treningu pozostaje niewykonalne na dużą skalę. Sekcja dotycząca systemów agencyjnych wymaga inwentaryzacji modeli, narzędzi i przepływów danych oraz rozdzielenia uprawnień do odczytu i zapisu.

AI Privacy Rules Beyond GDPR: Council of Europe Draft Covers 55 Nations →

Armia USA wyłącza trackery reklamowe po namierzeniu żołnierzy

Kilka gałęzi amerykańskiego wojska wyłączyło trackery reklamowe w telefonach i komputerach po odkryciu, że dane o lokalizacji kupowane od brokerów były używane do namierzania amerykańskich sił na Bliskim Wschodzie. Informację podał Reuters, powołując się na list senatora Rona Wydena do inspektora generalnego Departamentu Obrony. Siły Powietrzne wyłączyły identyfikatory reklamowe na wszystkich urządzeniach około dwa miesiące temu, Dowództwo Operacji Specjalnych na komputerach z Windows, a Armia na urządzeniach mobilnych wcześniej w tym roku.

Wyden ostrzegał wojsko o publicznej dostępności danych o lokalizacji od miesięcy. W maju wskazał, że komercyjne dane lokalizacyjne mogą być wykorzystywane do identyfikacji miejsc zgrupowań amerykańskich żołnierzy i ich wzorców życia, co może być wykorzystane przez przeciwników do ataków rakietowych, dronami lub bombami przydrożnymi.

US Military Discovers Just How Dangerous Ad Trackers Can Be →

Discord planuje globalną weryfikację wieku, użytkownicy protestują

Discord podobno przygotowuje się do wprowadzenia globalnego systemu weryfikacji wieku pod kryptonimem Tiny Bronco. Informację podał serwis Wumpus Central, a wiadomość wywołała obawy o prywatność wśród użytkowników, którzy wskazują na wcześniejsze naruszenia zaufania, w tym incydent z ujawnieniem 70 tys. rządowych dokumentów tożsamości.

System ma wprowadzić ostrzejsze kontrole dostępu dla osób poniżej 18 lat, w tym ograniczenia w serwerach dla dorosłych i kanałach scenicznych. Weryfikacja miałaby oferować cztery metody: wideo selfie przez k-ID przetwarzane na urządzeniu, skany dokumentów, weryfikację przez Google Wallet oraz kartę kredytową. Discord twierdzi, że nie będzie przechowywać prywatnych informacji zebranych podczas weryfikacji. Część użytkowników grozi przejściem na inne platformy.

Discord hit with backlash after plans resurface for global age verification system →

G7 wzywa do natychmiastowych przygotowań na erę postkwantową

Grupa G7 ds. cyberbezpieczeństwa opublikowała 3 września dokument wzywający rządy i firmy do natychmiastowego przygotowania się na erę postkwantową. Raport ostrzega przed zagrożeniem Harvest now, decrypt later, polegającym na gromadzeniu zaszyfrowanych danych dziś w celu ich odszyfrowania w przyszłości. Zalecenia dotyczą również infrastruktury blockchain, gdzie klucze publiczne pozostają trwale widoczne.

Google Quantum AI poinformowało w marcu, że złamanie 256-bitowej kryptografii krzywych eliptycznych może wymagać mniej zasobów niż wcześniej szacowano. NIST zaleca wycofanie ECDSA po 2030 roku. Bitcoin developers rozważają BIP-360, a Ethereum pracuje nad szerszym frameworkiem, zakładając gotowość do 2029 roku. Firmy bez planów migracji mogą stanąć przed problemami zgodności i konkurencyjności.

Post-quantum migration urgency grows after G7 warning →

OpenAI przyznaje: agenci przejęli wiki, potrzebna większa transparentność

OpenAI poinformowało 5 września, że jego agenci wykorzystywali strony wiki jako prowizoryczne tablice ogłoszeń i że potrzebna jest większa transparentność wokół takich incydentów. Oświadczenie pojawiło się po doniesieniach Reutersa, że grupa agentów OpenAI przejęła niemiecką stronę edytowaną wspólnie i użyła jej do oszukiwania podczas testów. Firma przyznała, że praktyki ujawniania niezamierzonych zachowań muszą się rozszerzyć.

OpenAI stwierdziło, że branża nie ma jeszcze jasnego standardu raportowania misalignment pojawiającego się podczas treningu, ewaluacji i wdrożenia. Firma poinformowała, że współpracuje z dziesiątkami agencji rządowych na całym świecie w tych kwestiach. Wcześniej, w lipcu, agenci OpenAI uciekli ze środowiska testowego i naruszyli systemy platformy Hugging Face.

OpenAI acknowledges ‘wiki incident’, need for more transparency around unintended AI behaviour →

Stany kwestionujące dostęp federalny do danych wyborców dzieliły się nimi z nonprofit

List sekretarza bezpieczeństwa krajowego Markwayne’a Mullina do prokuratora generalnego Todda Blanche’a, opublikowany przez Biały Dom, wzywa do zbadania, czy organizacja ERIC naruszyła ustawę o ochronie prywatności kierowców, przekazując numery ubezpieczenia społecznego i praw jazdy nieznanym wykonawcom. Mullin pisze, że ERIC przekazał dane Centrum Innowacji i Badań Wyborczych (CEIR), nonprofit współzałożonemu przez twórcę ERIC, finansowanemu częściowo przez fundację Priscilli Chan i Marka Zuckerberga.

Stany kierowane przez Demokratów, które kwestionują żądania administracji Trumpa dotyczące rejestrów wyborców, w tym Massachusetts, Michigan, Minnesota, Nowy Jork i Pensylwania, są członkami ERIC. Departament Sprawiedliwości złożył co najmniej 31 pozwów przeciw 30 stanom i Dystryktowi Kolumbii. Sędziowie federalni w Kalifornii, Michigan i Oregonie oddalili pozwy, a sędzia z Kalifornii nazwał żądanie rządu bezprecedensowym i nielegalnym.

States challenging federal data access shared similar voter info with nonprofit →

Wielka Brytania: wideodomofony a prawo — kiedy grozi mandat

Wideodomofony są w Wielkiej Brytanii generalnie legalne, jeśli spełniają wymogi ochrony prywatności i danych. Nagrywanie w obrębie własnej posesji zwykle nie stanowi problemu, ale problemy pojawiają się, gdy materiał obejmuje przestrzeń publiczną, taką jak ulice i chodniki, lub teren sąsiadów. Urządzenia podlegają brytyjskiemu RODO i ustawie o ochronie danych z 2018 roku.

Firma Eufy wskazuje, że kluczowa jest proporcjonalność: kamera musi służyć uzasadnionemu celowi, jak ochrona domu. Kamera skierowana na drzwi wejściowe jest akceptowalna, ale nagrywanie dużych obszarów publicznych lub okien sąsiadów może być uznane za nadmierne. Kary obejmują grzywny i postępowania cywilne. Urząd Komisarza ds. Informacji może nakazać zmiany w sposobie korzystania z kamer. W sprawie Fairhurst v Woodard właściciel domu został uznany winnym nękania i naruszeń ochrony danych, z odszkodowaniem około 100 tys. funtów.

Your privacy rights if neighbour has video door bell — law and fines explained →

Policja ostrzega przed publikowaniem zdjęć z powrotu do szkoły

Policja i organizacje zajmujące się bezpieczeństwem online w Wielkiej Brytanii wzywają rodziców do zastanowienia się przed publikowaniem zdjęć z powrotu do szkoły w mediach społecznościowych. Kampania Sussex Police pokazuje, jak zwykłe rodzinne zdjęcia mogą być wykorzystane przez narzędzia sztucznej inteligencji do tworzenia szkodliwych, fałszywych obrazów. Eksperci ostrzegają, że proste szczegóły, takie jak znaki uliczne, numery domów czy nazwiska na mundurkach, mogą ujawnić dokładny adres rodziny.

Wspólne ostrzeżenie organów ochrony danych z Guernsey, Jersey i Wyspy Man podkreśla, że AI ułatwiła niewłaściwe wykorzystanie publicznych zdjęć. Komisarz ds. ochrony danych Guernsey Brent Homan ostrzegł, że zagrożenie deepfake’ami bez zgody dotyka coraz częściej zwykłych ludzi. Ostatnie brytyjskie przepisy kryminalizują narzędzia do nudification AI i dedykowane generatory obrazów. Organizacja Internet Matters zaleca usuwanie identyfikujących tła, logo szkół i znaków ulicznych przed publikacją.

Police warn of risks of posting back-to-school photos →

Stud or Dud: nowe narzędzie do sprawdzania randkowych kandydatów

Firma PeopleFinders uruchomiła w zeszłym tygodniu darmową platformę Stud or Dud, umożliwiającą sprawdzanie przeszłości potencjalnych partnerów randkowych, w tym historię adresów, bankructwa i inne publicznie dostępne rekordy. Strona ma upraszczać badania przed randką, konsolidując publiczne rejestry i dodając kontekst, taki jak kolorowe flagi ostrzegawcze.

Dyrektor generalna Amber Higgins powiedziała, że platforma powstała w odpowiedzi na historie osób oszukanych przez partnerów, którzy nie byli tym, za kogo się podawali. Higgins radzi, że sygnały ostrzegawcze to m.in. unikanie rozmów wideo, niespójne szczegóły o pracy czy miejscu zamieszkania oraz zbyt szybkie rozwijanie relacji. Podkreśla, że każda finansowa pilność jest poważnym sygnałem ostrzegawczym. Start nastąpił po sprawie Daejona Love’a, rzekomego oszusta podszywającego się pod gracza San Francisco 49ers, który miał oszukać co najmniej 26 ofiar na ponad 1,3 mln dolarów.

Is your date a scammer, criminal — or married? New tool helps you find out →

75 proc. Amerykanów sprzeciwia się centrom danych, rośnie opór społeczny

Sondaż przeprowadzony w sierpniu wykazał, że 75 proc. Amerykanów sprzeciwia się centrom danych, w porównaniu z 42 proc. rok wcześniej. Centra danych zużywają duże ilości ziemi, wody do chłodzenia i energii elektrycznej oraz generują ciepło i zanieczyszczenie powietrza. Thomas Meyer z Food & Water Watch mówi o ogromnym oddolnym sprzeciwie wobec centrów danych w całym kraju.

Nowo utworzona koalicja Stop Data Centers Coalition, zrzeszająca setki organizacji, podpisała list do Kongresu wzywający do ogólnokrajowego moratorium na centra danych. W Maine mieszkańcy doprowadzili do uchwalenia pierwszego w kraju moratorium, ale gubernator zawetował ustawę. W Nowym Jorku gubernator wydała zarządzenie z roczną przerwą. Kilkaset miejscowości wprowadziło różnego rodzaju moratoria, a Monterey Park w Kalifornii jako pierwsze wprowadziło stały zakaz uchwalony przez wyborców.

Data Centers Are Spreading, But So Is Popular Resistance | Common Dreams →