Eye Spy: IRS exigirá reconhecimento facial para visualizar declarações fiscais

O Internal Revenue Service (IRS) dos EUA fez parceria com uma empresa de identificação privada com sede na Virgínia que exige uma selfie de reconhecimento facial entre outras coisas, para criar ou acessar contas online com a agência.

De acordo com o Krebson Security, o IRS anunciou que até o verão de 2022, a única maneira de fazer login no irs.gov será através do ID.me. Fundada por ex-militares do Exército em 2010, a empresa com sede em McLean evoluiu para fornecer serviços de verificação de identidade on-line que vários estados estão usando para ajudar a reduzir o desemprego e a fraude de assistência à pandemia. A empresa afirma ter 64 milhões de usuários.

Cerca de 27 estados já usam o ID.me para rastrear ladrões de identidade que solicitam benefícios em nome de outra pessoa, e agora o IRS está se juntando a eles. O serviço exige que os solicitantes forneçam muito mais informações do que as normalmente solicitadas para esquemas de verificação online, como digitalizações de sua carteira de motorista ou outro documento de identidade emitido pelo governo, cópias de contas de serviços públicos ou seguros e detalhes sobre seu serviço de telefonia móvel.

Quando um candidato não tem um ou mais dos itens acima - ou se algo em sua inscrição acionar sinalizadores de fraude em potencial - O ID.me pode exigir um bate-papo por vídeo ao vivo gravado com a pessoa que solicita os benefícios. -Krebson Security

Por causa de seu artigo, Krebs fez de si mesmo uma cobaia e se inscreveu no ID.me para descrever o longo processo que “pode exigir um investimento significativo de tempo e um pouco de paciência”.

Depois de fazer o upload de imagens da carteira de motorista, identidade emitida pelo estado ou passaporte.

Se seus documentos forem aceitos, O ID.me solicitará que você tire uma selfie ao vivo com seu dispositivo móvel ou webcam. Isso levou várias tentativas. Quando a câmera do meu computador produziu um resultado aceitável, o ID.me disse que estava comparando a saída com as imagens das digitalizações da minha carteira de motorista. -KrebsonSecurity

Uma vez aceito, O Id.me pedirá para verificar seu número de telefone - e não aceitará números vinculados a serviços de voz sobre IP como Skype ou Google Voice.

O aplicativo de Krebs ficou travado na etapa “Confirming your phone” – o que levou a um bate-papo por vídeo (e ter que reenviar outras informações) que teve um tempo de espera estimado de 3 horas e 27 minutos. Krebs – tendo entrevistou o fundador do ID.me ano passado – enviei um e-mail para ele e consegui falar com um representante de atendimento ao cliente um minuto depois “contra meus repetidos protestos de que eu queria esperar minha vez como todo mundo”.

Até onde vai a segurança, o CEO Blake Hall disse a Krebs no ano passado que a empresa é "certificada de acordo com as diretrizes de identidade digital NIST 800-63-3" e "emprega várias camadas de segurança e segrega totalmente dados estáticos do consumidor vinculados a uma identidade validada de um token usado para representam essa identidade”.

“Adotamos uma abordagem de defesa em profundidade, com redes particionadas, e usamos um esquema de criptografia muito sofisticado para que, quando e se houver uma violação, esse material seja protegido por firewall”, disse Hall. “Você teria que comprometer os tokens em escala e não apenas o banco de dados. Criptografamos tudo isso até o nível do arquivo com chaves que giram e expiram a cada 24 horas. E uma vez que verificamos você, não precisamos desses dados sobre você continuamente.”

Krebs acredita que coisas como o reconhecimento facial para estabelecer a identidade de uma pessoa é um momento “Plante sua bandeira”, porque “Ame ou odeie, o ID.me provavelmente se tornará um daqueles lugares onde os americanos precisam plantar sua bandeira e marcar sua território, se por nenhum outro motivo, provavelmente será necessário em algum momento para gerenciar seu relacionamento com o governo federal e/ou seu estado.”

Leia a história completa aqui…

Agências do governo dos EUA estão usando tecnologia de reconhecimento facial quase sem supervisão

Ken Macon via Reclaim the Net, 7 de julho de 2021

Existem alguns usos apropriados para a tecnologia de reconhecimento facial nas mãos da aplicação da lei. Esses casos devem ser extremamente raros, como rastrear um terrorista confirmado ou localizar um suspeito armado e perigoso no meio de uma multidão. Além de cenários de emergência extrema, a tecnologia de reconhecimento facial não deve ser usada.

Infelizmente, está sendo usado por uma tonelada de pessoas em quase duas dúzias de agências governamentais por uma infinidade de razões, com absolutamente zero de supervisão, rastreamento mínimo de uso e efetivamente nenhuma regra detalhando quando e como deve ser aplicado. É claro que temos um grande problema quando agências mundanas como o IRS, FDA e USPS empregam tecnologia de reconhecimento facial. Quando foi a última vez que um agente da Food and Drug Administration foi caçar terroristas?

Considerando o IRS parece prestes a se tornar parte do estado policial, isso é especialmente preocupante.

O Gabinete de Responsabilidade do Governo (GAO) Denunciar sobre o uso do reconhecimento facial é surpreendente e irritante. Mostra uma combinação de incompetência e abuso que torna uma receita muito perigosa, especialmente nas mãos do governo. Basicamente não há fiscalização. As agências que o usam não conseguem manter suas histórias diretas sobre como o usam ou mesmo quais empresas empregam para fazer a manutenção do equipamento. É tudo completamente opaco e ninguém no Congresso parece se importar.

A agência de supervisão federal Government Accountability Office (GAO) lançou um relatório sobre o uso de reconhecimento facial por agências governamentais. A principal revelação do relatório é que há pouca supervisão interna sobre o uso da tecnologia.

Não há como negar que a tecnologia de reconhecimento facial é útil para investigações criminais. No entanto, a tecnologia não é perfeita, pois tem tendência a falsos positivos e a implicação pode ser enviar agentes da lei atrás da pessoa errada. Também é geralmente invasivo e promove um estado de vigilância.

Empresas privadas que fornecem a tecnologia, como Clearview, só pioraram a reputação do reconhecimento facial.

Não foi surpresa saber que agências de inteligência e aplicação da lei, como FBI, DEA, ATF, TSA e Homeland, possuem ou usam tecnologia de reconhecimento facial. De acordo com o relatório, 20 agências usam a tecnologia, incluindo algumas que você não esperaria, como o IRS, FDA e US Postal Service.

Talvez mais preocupante seja o uso da Clearview pelas agências, uma empresa privada que provou ser desonesta e foi investigada e processada no passado recente. Metade das agências têm contratos ou usaram a tecnologia da Clearview, tornando a controversa empresa o provedor de reconhecimento facial terceirizado mais popular.

O relatório afirma que essas agências usam “sistemas estaduais, locais e não governamentais para apoiar investigações criminais”. No entanto, as agências não estão cientes de quais sistemas não governamentais seus funcionários usam.

“Treze agências federais não têm conhecimento de quais sistemas não federais com tecnologia de reconhecimento facial são usados ​​pelos funcionários. Essas agências, portanto, não avaliaram completamente os riscos potenciais do uso desses sistemas, como riscos relacionados à privacidade e precisão. A maioria das agências federais que relataram usar sistemas não federais não possuía sistemas. Assim, os funcionários contavam com sistemas pertencentes a outras entidades, incluindo entidades não federais, para apoiar suas operações.”

Algumas agências nem sabiam com que frequência seus funcionários usam essa tecnologia e tiveram que realizar pesquisas para descobrir. Depender de dados que se baseiam em auto-relatos honestos não é a melhor ideia.

Uma das agências disse inicialmente ao GAO que não usa sistemas não federais. No entanto, “depois de realizar uma pesquisa, a agência descobriu que seus funcionários usaram um sistema não federal para realizar mais de 1,000 pesquisas de reconhecimento facial.

O uso descuidado de uma tecnologia imprecisa por essas agências também é potencialmente uma violação da lei e pode resultar no conhecimento público sobre as investigações em andamento.

“Quando as agências usam a tecnologia de reconhecimento facial sem antes avaliar as implicações de privacidade e a aplicabilidade dos requisitos de privacidade, existe o risco de não aderirem às leis, regulamentos e políticas relacionadas à privacidade. Há também o risco de que proprietários de sistemas não federais compartilhem informações confidenciais (por exemplo, foto de um suspeito) sobre uma investigação em andamento com o público ou outros.”

Leia a história completa aqui…