Predicting Social Security numbers from public data

Predicting Social Security numbers from public data

Presentation about the article 'Predicting Social Security numbers from public data' by Alessandro Acquisti1 and Ralph Gross.

4c9ab150e47c76dd651c84387364e6f3?s=128

Jules Holleboom

June 07, 2012
Tweet

Transcript

  1. 3.

    Predicting Social Security numbers from Alessandro Acquisti1 and Ralph Gross

    Carnegie Mellon University, Pittsburgh, PA 15213 Communicated by Stephen E. Fienberg, Carnegie Mellon University, Pittsburgh, PA, May 5, 2009 (received for review Information about an individual’s place and date of birth can be exploited to predict his or her Social Security number (SSN). Using only publicly available information, we observed a correlation between individuals’ SSNs and their birth data and found that for younger cohorts the correlation allows statistical inference of private SSNs. The inferences are made possible by the public availability of the Social Security Administration’s Death Master File and the widespread accessibility of personal information from multiple sources, such as data brokers or profiles on social net- working sites. Our results highlight the unexpected privacy con- sequences of the complex interactions among multiple data sources in modern information economies and quantify privacy risks associated with information revelation in public forums. identity theft ͉ online social networks ͉ privacy ͉ statistical reidentification In modern information economies, sensitive personal data hide in plain sight amid transactions that rely on their privacy yet require their unhindered circulation. Such is the case with Social Security numbers in the United States: Created as identifiers for accounts number (SN). The SSA open process through which ANs, are currently assigned base address provided in the SSN (1). Low-population states allocated 1 AN each, wherea ANs (for instance, an individ New York state may be assig digits). Within each SSA area nonconsecutive order betwe Both the sets of ANs assigned of GNs are publicly available (s stateweb.htm and www.ssa.go within each GN, SNs are a through 9999’’ (13) (see also [ The existence of such patte used to catch impostors posin However, outside the SSA, the confined to the awareness of th Gepubliceerd op 6 juli 2009 in Proceedings of the National Academy of Sciences Onderzoek door Alessandro Acquisti en Ralph Gross, beide verbonden aan de Carnegie Mellon University in Pittsburgh. Gecommuniceerd via Stephen E. Fienberg.
  2. 5.

    “Re-identication is the process of matching records or behaviors that

    belong to the same individual, sometimes when the individual is acting anonymously.” - ‘Statistics for re-identification models in network models’ http://opimweb.wharton.upenn.edu/documents/seminars/COMPLETEpaperAOAS.pdf
  3. 8.

    Structuur SSN [AAA] [GG] [.SSSS] area number gebiedsnummer group number

    groepsnummer serial number volgnummer 001 - 399 gebaseerd op locatie 01 - 99 gebaseerd op uitgiftedatum 0001 - 9999 willekeurig getal
  4. 11.

    Hypothese [.SSSS] afleidbaar [GG] afleidbaar [AAA] afleidbaar “Aan de hand

    van geboortegegevens kan een SSN afgeleid worden.”
  5. 14.

    SSA Death Master File (DMF) Publiek toegankelijke database met gegevens

    overledenen. ˒ Geboortedatum ✎ Plaats van uitgifte … Social Security Number
  6. 18.

    Resultaat Geboortegegevens konden in 44% van de gevallen worden gebruikt

    om de eerste 5 getallen van een SSN correct te voorspellen.
  7. 19.

    Resultaat Geboortegegevens konden in 8.5% van de gevallen worden gebruikt

    om een volledig SSN correct te raden in minder dan 1000 pogingen.
  8. 20.

    Discussie ⾠ sociale netwerken ⾠ geboortegegevens te koop ⾠ kwetsbaarheid

    beveiliging registratiesystemen ⾠ combinatie SSN en geboortedatum is genoeg
  9. 21.
  10. 23.
  11. 24.

    Reacties Should Social Security numbers be replaced by modern, more

    secure identifiers? http://www.pnas.org/content/106/27/10877.full.pdf+html
  12. 25.

    Reacties “Their paper points to a radical solution: Perhaps we

    should stop trying to protect the secrecy of the SSN, and just publish all of them to prevent their use as passwords.” - Chris Hoofnagle, University of California http://www.wired.com/wiredscience/2009/07/predictingssn/
  13. 26.

    BSN De Belastingdienst en het Ministerie van Binnenlandse Zaken verklaren

    o.a. via hun websites dat er geen enkele betekenis achter het SoFi- nummer schuilgaat.
  14. 27.

    Kwetsbaarheden BSN ⾠ Elfproef ‣ (9 x A) + (8

    x B) + (7 x C) + (6 x D) + (5 x E) + (4 x F) + (3 x G) + (2 x H) + (-1 x I) = 11n ⾠ BTW-nummer als ZZP’er is BSN ⾠ Eerste 4 getallen BSN-nummer van broers en zussen is gelijk (?)
  15. 28.

    Kwetsbaarheden BSN ‣ Bij de opticien, wanneer u contactlenzen koopt.

    ‣ Bij de gehoortoestellenwinkel. ‣ Bij de kinderopvang. ‣ Bij het openen van een spaarrekening. ‣ Bij het inchecken bij hotels. Bijvoorbeeld bij Preston Palace. ‣ Bij het ophalen of aannemen van pakketjes ‣ Bij het kopen van een tv, in verband met de Ziggosmartcard. ‣ Bij verschillende werkgevers. Bijvoorbeeld om te mogen stemmen voor de OR of om een computer te resetten. ‣ Bij een infobijeenkomst van de GGD over borstvoeding. ‣ Bij de scooterstalling. Bij verlies van het bonnetje krijg je je scooter pas terug na het inleveren van allerlei gegevens waaronder het BSN. ‣ Bij Bo-Rent. Zij verhuren alleen apparatuur wanneer zij een kopie mogen maken van het gehele paspoort of rijbewijs. Het doorstrepen van het BSN wordt niet geaccepteerd. ‣ Als bezoeker aan een SBWU woonvoorziening. ‣ Bij zelfscankassa’s van bijvoorbeeld Dirk v/d Broek en Dekamarkt. ‣ Bij de bibliotheek. ‣ Bij het aanvragen van credit card. ‣ Bij autoreparaties.
  16. 30.