En fødselsdato kan virke som en harmløs oplysning, når en webshop, kundeklub eller konkurrence beder om den. Men ifølge flere cybersikkerhedseksperter kan netop den detalje blive en vigtig brik for svindlere, når de forsøger at narre folk eller udgive sig for at være dem.
Advarslen kommer efter, at kunder hos onlineforhandleren Asos i et nyligt hackerangreb fik stjålet blandt andet deres fødselsdatoer. Pointen fra eksperterne er, at en fødselsdato sjældent er farlig alene, men at den bliver langt mere værdifuld, når den kobles sammen med andre oplysninger som navn, adresse, e-mail og telefonnummer.
Det kan for eksempel bruges i et opkald, hvor en person udgiver sig for at være fra banken og nævner offerets navn, adresse og fødselsdato. Når oplysningerne lyder rigtige, kan det få samtalen til at virke legitim, selv om der i virkeligheden er tale om kriminelle.
Små oplysninger kan samles til et større billede
Jake Moore, der er rådgiver hos cybersikkerhedsselskabet ESET, advarer om, at oplysninger fra datalæk kan blive solgt videre og senere brugt i svindel. Han siger: “A date of birth alone is not particularly valuable to criminals, but combined with other information, such as names and phone numbers, it can help criminals … commit identity fraud.”
Det er netop den kombination, der bekymrer eksperterne. En enkelt webshop har måske kun få oplysninger, men hvis data fra flere læk bliver samlet, kan svindlere stykke en mere komplet profil sammen. Det gør det lettere både at sende overbevisende phishing-mails og at forsøge at udgive sig for at være offeret over for virksomheder.
Serpil Hall, sikkerhedsekspert hos Datos Insights, beskriver, hvordan processen kan udvikle sig over tid. Et datalæk fra en forhandler kan give navn, fødselsdato, e-mail og adresse. Andre læk kan så føje loginoplysninger, telefonnumre og andre identifikatorer til. Offentligt tilgængelige oplysninger fra sociale profiler, joboplysninger og familiemedlemmer kan give endnu mere kontekst.
Derfor beder butikker om fødselsdato
Alexandre François, der undersøger svindel for efterretningsfirmaet WhoisXML API, fandt i en gennemgang, at otte ud af 14 forhandlere bad om fødselsdato ved oprettelse. Ifølge ham kan en forklaring være, at den fulde dato giver virksomheder kundens alder, som kan bruges til markedsføring og målretning.
Det betyder dog ikke nødvendigvis, at oplysningen er nødvendig for købet. François peger på, at butikker som udgangspunkt kun behøver betalingskortoplysninger og en leveringsadresse. Der kan være undtagelser ved varer med aldersgrænse, hvor alder skal bekræftes.
Hans pointe er, at den rigtige fødselsdato og det rigtige navn først for alvor er nødvendige i systemer, hvor oplysningerne bliver kontrolleret mod officielle registre og bruges til at bevise identitet. Det gælder ifølge ham blandt andet bank, långivere, skattemyndigheder, kørekort- og pasmyndigheder, kontrol af ret til at arbejde og politimeddelelser. En almindelig butik hører ikke til i den kategori.
Eksperternes råd er at dele mindre
Rådet fra eksperterne er derfor at være varsom med at udfylde personlige felter, som ikke er obligatoriske. Hvis et felt med fødselsdato kan springes over, er det ifølge François den bedste løsning. Hvis det ikke er muligt, anbefaler han at bruge den samme dato hos alle forhandlere, så den er lettere at huske, eventuelt den første dag i fødselsmåneden.
Jake Moore anbefaler også at være skeptisk over for uopfordrede henvendelser, selv når afsenderen virker velinformeret. Han siger: “Using a different birthday on low-risk websites can reduce exposure, but it is even better to not enter any personal fields that aren’t mandatory.” Han anbefaler desuden en separat e-mailadresse til online shopping, så den kan droppes, hvis den bliver ramt af et datalæk.
Det overordnede budskab er enkelt: Jo færre personoplysninger der ligger spredt rundt på nettet, desto sværere bliver det for svindlere at samle puslespillet. En fødselsdato virker måske lille, men i den forkerte sammenhæng kan den være med til at gøre et falsk opkald eller en phishing-mail langt mere troværdig.