FBIが本人確認ベンダーを調査、運転免許証1億5300万件がオンラインで流出

Nexusという新しいダークウェブサービスが、米国とカナダの1億5300万件以上の運転免許証のデジタルスキャンを販売しており、FBIはその出所とみられるルイジアナ州の本人確認企業idscan.netの調査を開始した。

KrebsOnSecurityによると、ロシアのサイバー犯罪フォーラムExploitで宣伝されているNexusは、免許証ごとに赤外線や紫外線スキャンを含む複数の画像ファイルを提供している。これらの画像のタイムスタンプは、個人が特定の企業とやり取りした日時と一致しており、特にハーツのレンタカーカウンターやラスベガスのマリファナ販売店が挙げられる。

研究者のザック・エドワーズ氏は、自分の免許証のタイムスタンプが、2022年にidscan.netと提携した販売店Planet13への訪問と一致することを発見した。同社の文書は、赤外線と紫外線でIDをスキャンすることを確認しており、顧客リストにはハーツ、ターゲット、フェデックス、シーザーズ・エンターテインメントが含まれている。

KrebsOnSecurityの調査によると、データは継続的に流出しており、わずか24時間で約40万件の新規レコードが追加されている。FBIニューオーリンズ支局は、この侵害に関する公式調査を開始した。

この事件は、レンタカーカウンターや販売店などでの遍在するIDスキャンのリスクを浮き彫りにしている。エドワーズ氏が指摘したように、これらのシステムは機密データを監督が不十分な第三者ベンダーに押し付けている。