Eye Spy: IRS per richiedere il riconoscimento facciale per visualizzare le dichiarazioni dei redditi

L'Internal Revenue Service (IRS) degli Stati Uniti ha collaborato con una società di identificazione privata con sede in Virginia che richiede un selfie con riconoscimento facciale tra l'altro, per creare o accedere ad account online con l'agenzia.

Secondo KrebsonSicurezza, l'IRS ha annunciato che entro l'estate del 2022, l'unico modo per accedere a irs.gov sarà tramite ID.me. Fondata da ex Army Rangers nel 2010, la società con sede a McLean si è evoluta per fornire servizi di verifica dell'identità online che diversi stati stanno utilizzando per aiutare a ridurre la disoccupazione e le frodi di assistenza pandemica. La società afferma di avere 64 milioni di utenti.

Circa 27 stati utilizzano già ID.me per individuare i ladri di identità che richiedono vantaggi a nome di qualcun altro, e ora l'IRS si unisce a loro. Il servizio richiede ai richiedenti di fornire molte più informazioni rispetto a quelle normalmente richieste per gli schemi di verifica online, ad esempio scansioni della patente di guida o di altro documento d'identità rilasciato dal governo, copie di bollette di utenze o assicurazioni e dettagli sul servizio di telefonia mobile.

Quando un richiedente non ha uno o più dei precedenti - o se qualcosa nella sua domanda attiva potenziali flag di frode - ID.me potrebbe richiedere una video chat dal vivo registrata con la persona che richiede i vantaggi. - Sicurezza Krebson

Per il bene del suo articolo, Krebs si è fatto una cavia e si è iscritto a ID.me per descrivere il lungo processo che "potrebbe richiedere un notevole investimento di tempo e un bel po' di pazienza".

Dopo aver caricato le immagini della propria patente, documento d'identità rilasciato dallo stato o passaporto.

Se i tuoi documenti vengono accettati, ID.me ti chiederà quindi di fare un selfie dal vivo con il tuo dispositivo mobile o webcam. Ci sono voluti diversi tentativi. Quando la fotocamera del mio computer ha prodotto un risultato accettabile, ID.me ha detto che stava confrontando l'output con le immagini sulle scansioni della mia patente. - Sicurezza Krebson

Una volta accettato, Id.me chiederà di verificare il tuo numero di telefono - e non accetterà numeri legati a servizi di voice over IP come Skype o Google Voice.

L'applicazione di Krebs si è bloccata nella fase "Conferma del telefono", che ha portato a una chat video (e alla necessità di inviare nuovamente altre informazioni) con un tempo di attesa stimato di 3 ore e 27 minuti. Krebs: avere intervistato il fondatore di ID.me l'anno scorso - gli ha inviato un'e-mail e un minuto dopo è stato in grado di parlare con un rappresentante del servizio clienti "contro le mie ripetute proteste sul fatto che volevo aspettare il mio turno come tutti gli altri".

Per quanto riguarda la sicurezza, il CEO Blake Hall ha dichiarato a Krebs l'anno scorso che la società è "certificata secondo le linee guida sull'identità digitale NIST 800-63-3" e "impiega più livelli di sicurezza e separa completamente i dati statici dei consumatori legati a un'identità convalidata da un token utilizzato per rappresentare quell'identità".

"Adottiamo un approccio di difesa in profondità, con reti partizionate, e utilizziamo uno schema di crittografia molto sofisticato in modo che quando e se si verifica una violazione, questa roba sia protetta da firewall", ha affermato Hall. “Dovresti compromettere i token su larga scala e non solo il database. Criptiamo tutta quella roba fino al livello di file con chiavi che ruotano e scadono ogni 24 ore. E una volta che ti abbiamo verificato, non abbiamo bisogno di quei dati su di te su base continuativa".

Krebs crede che cose come il riconoscimento facciale per stabilire la propria identità sia un momento "Pianta la tua bandiera", perché "Lo ami o lo odi, ID.me è probabile che diventi uno di quei luoghi in cui gli americani hanno bisogno di piantare la loro bandiera e contrassegnare la loro territorio, se non altro, probabilmente ad un certo punto sarà necessario per gestire il vostro rapporto con il governo federale e/o il vostro stato”.

Leggi la storia completa qui ...

Le agenzie governative statunitensi stanno utilizzando la tecnologia di riconoscimento facciale quasi senza alcuna supervisione

Ken Macon tramite Reclaim the Net, 7 luglio 2021

Ci sono alcuni usi appropriati per la tecnologia di riconoscimento facciale nelle mani delle forze dell'ordine. Questi casi dovrebbero essere estremamente rari, come rintracciare un terrorista confermato o localizzare un sospetto armato e pericoloso in mezzo a una folla. Al di là di scenari di emergenza estrema, la tecnologia di riconoscimento facciale non dovrebbe essere utilizzata.

Sfortunatamente, viene utilizzato da un sacco di persone in quasi due dozzine di agenzie governative per una moltitudine di motivi con una supervisione assolutamente zero, un monitoraggio minimo dell'uso e in effetti nessuna regola che descriva in dettaglio quando e come deve essere applicata. È chiaro che abbiamo un grosso problema quando agenzie banali come IRS, FDA e USPS utilizzano la tecnologia di riconoscimento facciale. Quando è stata l'ultima volta che un agente della Food and Drug Administration è andato a caccia di terroristi?

Considerando il L'IRS sembra pronta a entrare a far parte dello stato di polizia, questo è particolarmente preoccupante.

L'Ufficio per la responsabilità del governo (GAO) rapporto sull'uso del riconoscimento facciale è sia sorprendente che irritante. Mostra una combinazione di incompetenza e abuso che costituisce una ricetta molto pericolosa, soprattutto nelle mani del governo. Non c'è praticamente alcuna supervisione. Le agenzie che lo utilizzano non possono mantenere le loro storie chiare su come lo usano o anche su quali aziende impiegano per riparare l'attrezzatura. È tutto completamente opaco e nessuno al Congresso sembra preoccuparsene.

L'agenzia di supervisione federale Government Accountability Office (GAO). ha pubblicato un rapporto sull'uso del riconoscimento facciale da parte delle agenzie governative. La principale rivelazione nel rapporto è che c'è poca supervisione interna sull'uso della tecnologia.

Non si può negare che la tecnologia di riconoscimento facciale sia utile per le indagini penali. Tuttavia, la tecnologia non è perfetta in quanto tende ai falsi positivi e le implicazioni possono esserlo mandando le forze dell'ordine alla ricerca della persona sbagliata. È anche generalmente invasivo e promuove uno stato di sorveglianza.

Società private che forniscono la tecnologia, come Vista chiara, hanno solo peggiorato la reputazione del riconoscimento facciale.

Non è stata una sorpresa apprendere che i servizi segreti e le forze dell'ordine come FBI, DEA, ATF, TSA e Homeland possiedono o utilizzano la tecnologia di riconoscimento facciale. Secondo il rapporto, 20 agenzie utilizzano la tecnologia, comprese alcune che non ti aspetteresti, come l'IRS, la FDA e il servizio postale degli Stati Uniti.

Forse più preoccupante è l'uso da parte delle agenzie di Clearview, una società privata che si è rivelata disonesta ed è stata indagata e citata in giudizio nel recente passato. La metà delle agenzie ha contratti o ha utilizzato la tecnologia di Clearview, rendendo la controversa società il più popolare fornitore di riconoscimento facciale di terze parti.

Il rapporto afferma che queste agenzie utilizzano "sistemi statali, locali e non governativi per supportare le indagini penali". Tuttavia, le agenzie non sono a conoscenza di quali sistemi non governativi utilizzano i loro dipendenti.

“Tredici agenzie federali non sono a conoscenza di quali sistemi non federali con tecnologia di riconoscimento facciale vengono utilizzati dai dipendenti. Queste agenzie non hanno quindi valutato completamente i potenziali rischi dell'utilizzo di questi sistemi, come i rischi legati alla privacy e all'accuratezza. La maggior parte delle agenzie federali che hanno riferito di utilizzare sistemi non federali non possedevano sistemi. Pertanto, i dipendenti facevano affidamento su sistemi di proprietà di altre entità, comprese entità non federali, per supportare le loro operazioni".

Alcune agenzie non erano nemmeno a conoscenza della frequenza con cui i loro dipendenti utilizzavano questa tecnologia e hanno dovuto condurre sondaggi per scoprirlo. Dipendere dai dati che si basano su un'autodichiarazione onesta non è l'idea migliore.

Una delle agenzie ha inizialmente detto a GAO che non utilizza sistemi non federali. Tuttavia, “dopo aver condotto un sondaggio, l'agenzia ha appreso che i suoi dipendenti avevano utilizzato un sistema non federale per condurre più di 1,000 ricerche di riconoscimento facciale.

Anche l'uso negligente di una tecnologia imprecisa da parte di queste agenzie è potenzialmente una violazione della legge e potrebbe portare il pubblico a conoscenza delle indagini in corso.

“Quando le agenzie utilizzano la tecnologia di riconoscimento facciale senza prima valutare le implicazioni sulla privacy e l'applicabilità dei requisiti sulla privacy, c'è il rischio che non aderiscano a leggi, regolamenti e politiche relative alla privacy. Esiste anche il rischio che i proprietari di sistemi non federali condividano con il pubblico o altri informazioni sensibili (ad esempio la foto di un sospetto) su un'indagine in corso".

Leggi la storia completa qui ...