Furtul masiv de peste 153 de milioane de permise de conducere din SUA și Canada, petrecut la începutul acestei luni, ar trebui să facă un lucru absolut clar: cel mai sigur loc pentru o copie a permisului de conducere nu este nicăieri.
Permisele de identitate scurse, care par să provină de la un furnizor de verificare a identității, au ajuns pe un serviciu de identitate din dark web, numit Nexus, alături de milioane de alte documente de identitate și de călătorie furate. Pericolul a fost subliniat săptămâna aceasta, după ce fintech-ul Revolut a dezvăluit că a fost păcălit de un hacker să predea cantități mari de date sensibile ale clienților, inclusiv copii ale pașapoartelor și selfie-uri de verificare. Hackerul alimentează acum treptat documentele de identificare ale 680 de clienți pe web, în încercarea de a obține o răscumpărare de 10.000 de Bitcoin.
Ironia este greu de ratat: procesele „Know Your Customer” (KYC) sunt concepute pentru a face sistemele financiare mai sigure, stabilind cine sunt clienții și asigurându-se că nu sunt implicați în activități nelegitime. Dar modul în care KYC este implementat de obicei necesită ca firmele să stocheze cantități vaste de informații sensibile, ceea ce creează „stupuri” valoroase pentru infractori. Și problema devine din ce în ce mai greu de ignorat. Doar în prima jumătate a anului 2026, încălcările de date din SUA au afectat cel puțin 343 de milioane de persoane, conform Privacy Rights Clearinghouse.
Și mai frustrant este faptul că este deja posibilă verificarea identității unei persoane fără a stoca documentele sale de identitate, folosind tehnologia „zero knowledge proofs” (ZKP). Efrat Fenigson, gazda podcastului „You’re The Voice”, scrie și vorbește pe larg despre confidențialitate și KYC. Ea declară pentru Magazine: „Când autoritățile de reglementare continuă să impună un model care garantează acest rezultat — în timp ce tehnologia de verificare fără stocare există deja — ridică un semnal de alarmă. Implică o lipsă de gândire rațională și de voință reală de a rezolva problemele.” Câte astfel de scurgeri vor mai fi necesare înainte ca acea voință să se manifeste?
**KYC a fost construit pentru a colecta identitatea, nu doar pentru a o verifica**
Sistemele KYC de astăzi s-au dezvoltat în mare parte pe presupunerea că instituțiile ar trebui să vadă pașapoartele sau permisele de conducere ale clienților, să înregistreze informațiile relevante și apoi să stocheze dovezi ale verificării. 343 de milioane de persoane au fost deja afectate de breșe de date în SUA în 2026. Sursa: Privacy Rights Clearinghouse. Dar există o problemă evidentă cu această abordare: a creat un ecosistem vast de furnizori de identitate, baze de date, vendori și sisteme de conformitate, care stochează separat depozite prețioase de date KYC individuale. Fiecare copie suplimentară a datelor dvs. creează un alt punct potențial de eșec — și hackerii devin din ce în ce mai creativi în găsirea de metode pentru a le accesa.
În cazul Revolut, hackerul a trimis e-mailuri solicitând date KYC de la o adresă legitimă a organelor de aplicare a legii din Italia. Lyudmyla Kozlovska, președinta Open Dialogue, a declarat pe X că legile UE au făcut ca Revolut să nu aibă altă opțiune decât să se conformeze. „Legea UE AML nu impune nicio obligație de verificare băncii și nu oferă niciun mecanism semnificativ de verificare a persoanei reale din spatele unei cereri autentificate de stat. Refuzul de a răspunde atrage amenzi de milioane. În practică, verificarea este imposibilă.”
Susie Violet Ward, director și co-fondator al Bitcoin Policy UK, avertizează că problema reală constă în stocarea inutilă a datelor de identitate: „Trebuie să încetăm să tratăm verificarea identității și cedarea identității ca fiind același lucru.” Dacă o companie trebuie doar să știe că cineva are peste 18 ani, ea susține că nu ar trebui să solicite automat detalii suplimentare precum numele complet, adresa, data exactă a nașterii și o copie permanentă a documentelor de identitate relevante: „Ironia este că KYC este conceput pentru a face sistemele mai sigure, dar modul în care îl implementăm în prezent poate crea o problemă de securitate complet diferită. Puteți reseta o parolă după o breșă, dar nu vă puteți reseta identitatea în același mod.”
**Tehnologia pentru a opri acumularea de ID-uri există deja**
Pentru susținătorii crypto, soluția evidentă este utilizarea „zero knowledge proofs”. Acesta este un argument matematic care demonstrează că ceva este adevărat fără a dezvălui detaliile. De exemplu, puteți folosi o aplicație pe telefon pentru a genera o dovadă care confirmă că permisul dvs. de conducere atestă că aveți peste 18 ani, fără a trimite data nașterii sau o fotografie a permisului. Fondatorul Zcash, Zooko Wilcox, oferă o explicație utilă a tehnologiei ZK în acest videoclip. O explicație utilă a tehnologiei ZK. Sursa: Crypto Fireside
Evin McMullen, CEO și co-fondator al Billions Network, care dezvoltă soluții de identitate digitală și ZK care păstrează confidențialitatea, declară pentru Magazine: „Tehnologia funcționează și este în producție astăzi, în mii de aplicații și instituții reglementate. Ceea ce o împiedică este faptul că întregul pachet de conformitate a fost construit în jurul colectării și stocării copiilor ale documentelor.” McMullen spune că bariera „nu a fost niciodată tehnologia”, ci regulile, stimulentele și infrastructura construite în jurul ei: „Aceasta este o problemă de guvernanță și standarde care poartă un costum tehnologic.”
**Dacă tehnologia funcționează, ce o oprește?**
Uniunea Europeană încorporează deja tehnologia ZK în designul sistemelor sale de identitate digitală și de verificare a vârstei, dezvoltând o verificare a vârstei care păstrează confidențialitatea, permițând utilizatorilor să-și dovedească vârsta fără a-și dezvălui identitatea completă sau data exactă a nașterii. Portofelul său de identitate digitală suportă, de asemenea, „divulgare selectivă”, astfel încât utilizatorii să dezvăluie doar informațiile necesare pentru o anumită tranzacție.
Deci, de ce nu este aceasta implementată mai pe scară largă pentru KYC financiar? Conform McMullen, „reglementarea și înțelegerea” sunt cele mai mari obstacole în calea adoptării: „Cel mai frecvent blocaj este că echipele de conformitate confundă 'am văzut ID-ul' cu 'trebuie să păstrăm ID-ul', așa că supra-colectează pentru siguranță.” Ea spune că interoperabilitatea este o altă problemă, deoarece dovezile criptografice sunt utile „doar dacă partea care se bazează pe ele le poate verifica fără a apela înapoi la cine le-a emis.” Acest lucru necesită stabilirea unor standarde comune, ceea ce este mai ușor de spus decât de făcut.
**ZK nu rezolvă magic KYC**
Există o altă precizare importantă: înlocuirea unui document de identitate cu o dovadă „zero-knowledge” nu elimină automat toate problemele de confidențialitate sau de securitate. Fenigson subliniază că la ce rămâne legată o acreditare ZK este la fel de important: „Incentivele indică spre control, nu spre confidențialitate. Zero-knowledge proofs permit cuiva să demonstreze un fapt, cum ar fi că are peste 18 ani sau nu se află pe o listă de sancțiuni [...] Ceea ce lipsește este la ce se leagă acea dovadă. În prezent, este de obicei legată de un cont din baza de date a altcuiva.”
Portofelul de identitate digitală al UE suportă divulgarea selectivă. Sursa: Comisia Europeană
Așadar, totul se reduce la cine controlează în cele din urmă acreditarea. Dacă o persoană generează o dovadă care păstrează confidențialitatea, dar acea dovadă este legată de un cont din baza de date a altcuiva, ea rămâne dependentă de un intermediar centralizat.
**Regulile nu sunt atât de clare pe cât credeți**
În multe cazuri, regulile nu impun de fapt stocarea datelor de identitate — este mai mult o convenție, deoarece așa s-a făcut dintotdeauna. Ghidul Grupului de Acțiune Financiară (FATF) ia în considerare în mod explicit cum pot fi utilizate sistemele de identitate digitală pentru a efectua diligența debitorului, în loc să impună instituțiilor să se bazeze pe documentele de identitate fizice. Recomandările FATF operează, de asemenea, ca un cadru bazat pe riscuri, lăsând țărilor individuale să implementeze standardele prin propriile sisteme legale și de reglementare.
„În multe regimuri, regula este că trebuie să verificați identitatea și să păstrați înregistrări ale acelei verificări, nu că trebuie să păstrați imaginea brută a documentului pentru totdeauna”, spune McMullen. Acest lucru înseamnă că o atestare verificabilă criptografic, cu o înregistrare care arată că verificarea relevantă a fost efectuată, ar putea fi suficientă pentru a se conforma, fără a crea o altă copie permanentă a ID-ului.
Dar deoarece ghidul este „ambiguu”, McMullen spune că instituțiile pur și simplu aleg să păstreze totul, deoarece echipele lor de conformitate știu că auditorii și inspectorii vor accepta acest lucru. Cu alte cuvinte, chiar dacă regulile permit tehnic o abordare diferită, nimeni nu este dispus să fie primul care riscă, așa cum explică Ward: „Există un instinct în reglementare că mai multe informații înseamnă mai mult control și, prin urmare, mai multă siguranță.” Este greu de imaginat că acest lucru se va schimba, cu excepția cazului în care regulile sunt amendate pentru a permite explicit „zero-knowledge proofs”. Și, deși niciun sistem nu este perfect, cel puțin tehnologia ZK previne necesitatea de a colecta și păstra atât de multe informații sensibile. Așa cum spune McMullen: „Nu poți pierde ceea ce nu ai deținut niciodată.”