Na sprzedaż trafiło ponad 170 milionów skanów dokumentów identyfikujących tożsamość. Wyciek danych IDScan, jeden z największych w historii Ameryki Północnej.

Na przełomie sierpnia i września dziennikarz Brian Krebs prowadzący popularnego bloga KrebsOnSecurity otrzymał informację o nielegalnym ogłoszeniu sprzedaży danych. Poprzez rosyjskojęzyczne forum Exploit trafił na serwis Nexus oferujący sprzedaż wykradzionych danych. Weryfikując darmową próbkę, dziennikarz znalazł między innymi własne prawo jazdy oraz skan dokumentu Sekretarza Obrony USA, Pete’a Hegsetha. Przekazał informację FBI po czym został włączony w telekonferencję z szefostwem sekcji cybernetycznej. Tego samego dnia oferta zniknęła z serwisu Nexus.

O wycieku danych poinformowała również sama firma IDScan, dostawca usług skanowania dokumentów i weryfikacji tożsamości. Świadczą oni usługi takim firmom jak wypożyczalnia samochodów Hertz czy FedEx oraz dyspensariom konopi indyjskich i sklepom z bronią w 19 stanach USA. 

TLDR:

• Na rosyjskojęzycznym forum darknetowym Nexus opublikowano ofertę sprzedaży ogromnej bazy dokumentów, w tym skanów prawa jazdy (153 mln), ID czy kart medycznych.

• Prawdziwość danych potwierdził sam dziennikarz Brian Krebs który przeglądając demo bazy znalazł dane swoje i swoich bliskich. Łącząc dane z wycieku z realnymi zdarzeniami odkrył, że wyciek musiał dotknąć IDScan, dostawcę usług skanowania dokumentów i weryfikacji tożsamości. 

• Wyciek objął między innymi dane sklepów rejestrujących sprzedaż broni lub konopii indyjskich oraz niektórych, wysoko postawionych urzędników (przykładowo Sekretarza Obrony USA, Pete’a Hegsetha).

Dokumenty wystawione na sprzedaż to głównie prawa jazdy, ale również dowody osobiste, dokumenty podróżne ID czy karty medyczne. 

Skany nie były zwykłymi zdjęciami jak to często bywa w innych wyciekach. Baza Nexus zawierała aż 6 plików dla każdego prawa jazdy (po 3 na stronę): 

• zwykły skan wizualny
• skan w podczerwieni
• skan w ultrafiolecie 

Znacząco zwiększa to ryzyko odtworzenia bardzo wiarygodnego duplikatu do kradzieży tożsamości przez oszustów.

Śledztwo Krebsa doprowadziło go do jego osobistego prawa jazdy dostępnego w darmowej próbce danych. Pliki graficzne praw jazdy miały w nazwach dokładną datę i godzinę wykonania skanu. Odkrył więc, że skan jego dokumentu idealnie odpowiada momentowi, w którym w czerwcu 2025 roku wypożyczał auto. Kilka sekund później, okienko obok, zostało zeskanowane prawo jazdy jego matki, które również znalazł w demie bazy. 

Następnie Krebs poprosił znajomych badaczy security o sprawdzenie ich danych. Ekspert Zach Edwards odnalazł swój skan odpowiadający wizycie w dyspensarium marihuany Planet13 w Las Vegas. Inny badacz, Larry Baldwin również dopasował timestamp do momentu wynajmu auta w Hertz. 

~Dallas