Experian Flaw Just Revealed PIN-kod Skydda kreditdata

Kredit fryser är det bästa sättet att förhindra nytt konto bedrägeri, där brottslingar öppna falska konton i ditt namn. Men en kreditbyrås webbplats gjorde det svårt att kringgå den säkerhet som ska hålla dina kreditrapporter säkra.

Experians webbplats avslöjade de personliga identifikationsnumren - PIN-koden som behövs för att tina kredit fryser - efter att användarna har besvarat sina säkerhetsfrågor med ett blankettsvar: Inget av ovanstående.

För mer än ett år sedan rapporterade säkerhetsekspert Brian Krebs en liknande fel. Vid den tidpunkten måste folk korrekt svara på de fyra "kunskapsbaserade autentiserings" -frågorna som används för att identifiera dem. Problemet med denna metod, enligt Krebs, är att den personliga information som behövs för att framgångsrikt gissa svaren är lätt tillgänglig online via kommersiella och kriminella webbplatser.

Men i flera timmar torsdag - och för vem vet hur länge innan det - du behövde inte ens gissa.

En läsare varnade oss för det här problemet, och flera av oss som hade kreditfrisättning kunde replikera det. Vi bad våra anhängare på Facebook och Twitter och hörde från andra som också fick tillgång till sina PIN-koder.

Fel i den normala processen

För att få siffrorna fyllde personerna formuläret på Experians PIN-hämtningssida med personens namn, adress, socialt säkerhetsnummer och födelsedatum - exakt vilken typ av information som äventyras i förra årets Equifax-överträdelse, och det är lätt tillgängligt för försäljning på den mörka banan. Blanketten krävde en e-postadress, som inte nödvändigtvis var den som var associerad med personens Experian-konto. Att svara på "ingen av de ovanstående" till säkerhetsfrågorna - även om några av de svar som gavs var korrekta - gav tillgång till den personens PIN-kod.

Med PIN-koden kan alla tona personens kreditfras och ansöka om kredit i deras namn.

Konsumentförespråkaren Mike Litt kunde också hämta sin PIN-kod med hjälp av felet. "Det finns absolut ingen ursäkt för detta", säger Litt, kampanjdirektör för U.S. PIRG, ett offentligt intresse förespråkarorganisation. "Hur lämnar du bara nycklarna till dörren ovanpå välkomstmatta?"

En experisk talesman utfärde ett uttalande torsdag eftermiddag som sa: "Samtidigt som vi är övertygade om att vår autentisering är säker och inga kreditfiler är i fara, har vi vidtagit ytterligare steg för att göra processen säkrare. Vi fortsätter att regelbundet övervaka våra system och vidta omedelbara åtgärder när det är nödvändigt att stärka datasäkerheten."

Felmeddelanden sparas in

I slutet av torsdagen började många av oss få de felmeddelanden som våra svar borde ha genererat i första hand. Vi skickades till mail Experian vår identifierande information, som exemplar av vår körkort, räkningar och socialförsäkringskort.

USA-posten, om det här behöver sägas, är inte ett säkert sätt att överföra sådan information. Men eftersom dessa uppgifter sannolikt är i straffhänder redan, lämnar vi det för nu.

Det här är ännu en påminnelse om att vi måste fortsätta att övervaka våra kreditrapporter och betyg för bedrägliga konton, även om vi har kreditfrysning på plats - vilket vi fortfarande borde göra.

Vad som verkligen är ont är att säkerhetsfrysning ska vara en av de få effektiva bulwarks som människor kan bekämpa bedrägerier. Därför har säkerhetseksperter rekommenderat dem i åratal, och varför kongressen slutligen fryser och töjs fri från och med september 21.

Den lätthet som detta väsentliga skydd skulle kunna motverka berättar för oss att kreditbyråerna fortfarande inte tar säkerhet för vår information allvarligt nog.

Personalförfattare Bev O'Shea bidrog till denna rapport.