Was uns die Königin der Rideshare-Mafia” über sicheres Onboarding erzählen kann

• Sogenannte ‘Rideshare Queen’ hat zahlreiche Apps betrogen
• Illegal kopierte Führerscheine zur Erstellung neuer Konten verwendet
• Autofahrer “mieteten” ihre gefälschten Identitäten – und verdienten damit ein Vermögen
• Sie hätte mit diesem einfachen Check gestoppt werden können

Priscila Barbosa kam am 24. April 2018 mit einem Touristenvisum aus Brasilien am JFK in New York an. Sie war 32 Jahre alt und hatte nur 117 Dollar bei sich – und gab einen Großteil davon sofort für ein Busticket nach Boston aus.

Drei Jahre später hatte sie Hunderttausende von Dollar als Architektin eines ausgeklügelten Identitätsbetrugs verdient, der ihr schließlich den Beinamen ‘Königin der Rideshare-Mafia’ einbrachte.

Barbosa erreichte diesen erstaunlichen Aufstieg, nachdem er entdeckt hatte, wie er gefälschte Fahrerkonten erstellen konnte, die anderen Einwanderern ohne Green Card – also ohne legales Recht auf Arbeit – sofortigen Zugang zur so genannten Gig-Economy ermöglichten.

Mit ihrer Masche gelang es ihr, solche Menschen als Fahrer für Taxi-Apps wie Lyft und Uber zu gewinnen, so dass sie die Arbeitsbeschränkungen der Einwanderungsbehörde umgehen und einen Lohn erhalten konnten.

Erstellte gefälschte Konten und ‘vermietete’ sie an illegale Fahrer

Sobald es ihr gelungen war, die Sicherheitskontrollen des Arbeitgebers zu umgehen, “vermietete” sie das Konto, das sie erstellt hatte, an einen Migranten – in der Regel einen brasilianischen Landsmann, der wie sie ein Touristenvisum hatte. Diese zahlten ihr einen wöchentlichen Anteil ihres Lohns für den Zugang zu dieser Plattform und die damit verbundene bezahlte Arbeit.

Als die Pandemie den Taxibetrieb fast über Nacht zum Erliegen brachte, gab es im Gegenzug einen Boom bei der Nachfrage nach Essen zum Mitnehmen – und die findige Barbosa konnte ihr Geschäftsmodell so umstellen, dass sie das gleiche Szenario für Apps schaffte, die Essen nach Hause liefern und einen ständigen Strom von Fahrern benötigen.

Zu den Unternehmen, die sie hinters Licht geführt hat, gehören nun Instacart, DoorDash, Uber Eats und Grubhub.

Der Betrug ermöglichte es ihr auch, Hunderte von Anmeldeboni zu kassieren.

Gestohlene Lizenzen waren das Einfallstor für einen riesigen Betrug

Wie hat Barbosa es also geschafft, all diese Plattformen zu betrügen und ihr Imperium aufzubauen? Wenn Sie an mehr Details interessiert sind, als meine Zusammenfassung hier bietet, dann hat Wired neulich einen sehr guten Artikel über die ganze Geschichte veröffentlicht, in dem Sie noch viel mehr erfahren.

Aber für meine Zwecke reicht eine Zusammenfassung ihrer Verbrechensserie mit gefälschten Ausweisen – denn ich bin mehr an den Lehren interessiert, die wir aus ihrer Geschichte ziehen können, als an ihrer bunten Karriere selbst.

Barbosa hatte nur minimale Ressourcen, zumindest anfangs, aber sie war technisch sehr begabt, vor allem wenn es darum ging, Wege zur Umgehung der Systemsicherheit zu finden. Außerdem war sie ein Naturtalent im Netzwerken, konnte schnell Beziehungen knüpfen und Hunderte auf einmal pflegen. Diese beiden Fähigkeiten brachten sie in kürzester Zeit sehr weit.

Woher hat sie so viele Fahreridentitäten?

Ihr Beruf begann damit, dass sie versuchte herauszufinden, wie sie selbst Fahrerin werden konnte. Sie benutzte den Führerschein eines anderen – und es funktionierte. Also begann sie, anderen dabei zu helfen, dasselbe zu tun.

Zunächst bettelte sie bei Freunden um unterschlagene Ausweise. Die ersten, die ihr in die Hände fielen, stammten aus einem Haustürbetrug: Legale Kunden, die Pakete erhielten, wurden aufgefordert, einen Ausweis vorzulegen, um ihr Paket ausgehändigt zu bekommen. Der Fahrer lenkte den Kunden ab und machte schnell eine Nahaufnahme des Führerscheins. Dieses Bild gelangte schließlich zu Barbosa, die es klonen konnte.

Als diese Quelle die Lizenzen nicht in ausreichender Menge liefern konnte, ging sie ins Dark Web – wo sehr privates Material wie dieses frei gehandelt wird – und begann, unterschlagene Lizenzbilder in größerer Zahl zu kaufen.

Sobald sie dann einen Führerschein hochgeladen hatte, war der Rest einfach. Denn es wurde kaum oder gar nicht versucht, die Angaben auf dem gestohlenen Führerschein mit den übrigen Angaben des Kontoinhabers abzugleichen.

Sie hat eine systemische Schwäche ausgenutzt – sie haben die falsche Sache überprüft

Die Apps erkannten oft schnell, dass sie gefälscht waren und schlossen die neuen Konten recht schnell – aber Barbosa eröffnete daraufhin einfach neue Konten.

Wie konnten also so große Marken mit so enormen Umsätzen von einem Geschäftsmann betrogen werden, der nur mit einem iPhone und 50 Dollar ausgestattet war?

Das Hauptproblem bestand darin, dass sich die Unternehmen anfangs auf das Hochladen eines Führerscheins als Rückgrat ihrer Verifizierungsprozesse verließen. Ich nehme an, dass es für Unternehmen, die Fahrer suchen, ganz natürlich – ja sogar logisch – war, bei der Gründung zu dieser Methode zu greifen. Sie würden nicht wollen, dass unqualifizierte Fahrer unter ihrem Markennamen arbeiten, also muss dies der beste Weg gewesen sein, um dies zu verhindern. Aber das war damals nicht der Fall und ist es heute auch nicht.

Wie diese Geschichte deutlich zeigt, sind gefälschte Ausweise leicht zu beschaffen und werden in großen Mengen angeboten. Der Upload eines Dokuments ist also ein schlechter Ausgangspunkt für die Überprüfung.

Das hätten sie tun sollen: ihre Telefone kontrollieren, nicht die Führerscheine

Am besten fangen Sie mit der Telefonnummer des Antragstellers an. Die überwiegende Mehrheit der Bone-Fide-Personen hat dieselbe Nummer schon seit einigen Jahren. Indem wir sowohl den aktuellen Status als auch die Historie einer Nummer überprüfen, können wir mit einem Schlag feststellen, ob sie Warnzeichen für einen Betrug aufweist: ist ihr Verhalten konsistent, ist sie physisch dort, wo Sie sie erwarten würden, ist sie neu registriert usw.

Sobald Sie die Glaubwürdigkeit der Nummer des neuen Benutzers festgestellt haben, ist das Hochladen von Dokumenten als optionale zweite Screening-Stufe in Ordnung – aber sie sollten niemals der Ausgangspunkt sein.

Wie zum Beweis meines Standpunkts war es die Tatsache, dass ein Großteil ihrer Betrügereien von einem einzigen Mobiltelefon aus oder in Verbindung mit einem einzigen Mobiltelefon durchgeführt wurde, was schließlich dazu führte, dass Barbosa nach einer langwierigen und kostspieligen Untersuchung, die zu 17 Strafverfahren führte, vom FBI identifiziert und festgenommen werden konnte.

Vor Gericht beteuerte sie, sie habe geglaubt, ihr Betrug sei ein Verbrechen ohne Opfer gewesen.

Die Tausenden von Menschen, deren Identität missbraucht worden war, mussten zweifellos viele Demütigungen, Unannehmlichkeiten und wahrscheinlich auch finanzielle Verluste hinnehmen. Sie wurde für drei Jahre inhaftiert.

Aber wenn die vom FBI abgefragte Telefonnummer überprüft worden wäre, als sie vor sechs Jahren ihren ersten Antrag gestellt hat, wäre das alles nicht passiert.