ФБР расследует продажу более 153 миллионов водительских прав – Кребс о безопасности

Новая служба кражи личных данных, запущенная в темной сети на этой неделе, продает цифровые сканы более 153 миллионов водительских прав от жителей США и Канады. Судя по интервью с людьми, чьи лицензии можно приобрести на этом сервисе, похоже, что он перекачивает изображения, собранные широко используемой компанией по проверке личности, базирующейся в Луизиане. KrebsOnSecurity также стало известно, что местное отделение полиции в Новом Орлеане Федеральное бюро расследований (ФБР) сегодня начало официальное расследование источника изображений.

В этой службе по краже личных данных имеется запись, включающая водительские права министра обороны США Пита Хегсета, одного из нескольких высокопоставленных правительственных чиновников США, чьи водительские права можно найти в продаже.

В понедельник, 31 августа, источник сообщил KrebsOnSecurity об услуге, рекламируемой новым пользователем на российском форуме по киберпреступности. Эксплуатацияпредлагая доступ к цифровым сканам документов, удостоверяющих личность, более чем 170 миллионам человек в Северной Америке. Источник обратил на это мое внимание, потому что владелец этой службы кражи личных данных предложил мои водительские права штата Вирджиния в качестве бесплатного образца в своей первоначальной теме продаж на Exploit.

Сервис, получивший название Нексусутверждает, что имеет более 153 миллионов водительских прав для жителей США и Канады, а также более 10 миллионов удостоверений личности; более трех миллионов проездных документов и/или международных удостоверений личности; и не менее 579 000 медицинских карт.

Беглый взгляд на Nexus показывает, что они, скорее всего, не преувеличивают цифру в 153 миллиона: запуск пустого поиска в Nexus (без ввода параметров поиска) возвращает примерно 11,5 миллионов страниц результатов, при этом на каждой странице отображается примерно 15 результатов. Он включает в себя документы жителей как Канады, так и США, но большая часть этих записей приходится на американцев: поиск только канадских водительских прав возвращает примерно 1,1 миллиона результатов, при этом наибольшая концентрация приходится на Онтарио (473 673 записи).

Любопытно, что в документах, удостоверяющих личность, имеются не только водительские права, но и талоны на продажу марихуаны. В некоторых записях в качестве «источника» указывается «CDL», что, по-видимому, является сокращением от «коммерческих водительских прав». Другие записи содержат обозначение источника «CAC», которое может относиться к картам общего доступа, выданным правительством удостоверениям личности, которые предоставляют физический доступ к правительственным зданиям и охраняемым помещениям.

Люди, стоящие за Nexus, утверждают, что лицензионные изображения получены в результате активного взлома «крупной компании по проверке личности», клиентами которой являются несколько компаний из списка Fortune 500.

Общее количество записей указано службой кражи личных данных Nexus. Количество записей о водительских правах увеличилось почти на 400 000 всего за 24 часа.

«Более года мы непрерывно извлекаем новые данные в нашу частную базу данных», — с энтузиазмом заявила служба во вступительном сообщении на Exploit. “Записи доступны для предварительного просмотра перед покупкой с отредактированной соответствующей информацией. Фотографии клиентов отображаются, если они доступны”.

Действительно, за последние 24 часа количество записей о водительских правах, доступных в Nexus, увеличилось почти на 400 000, что позволяет предположить, что недавно украденные данные о водительских правах собираются и загружаются в этот сервис на полурегулярной основе.

Запись с моими водительскими правами включает шесть файлов изображений: три пары фотографий лицевой и оборотной стороны водительских прав, базовое сканирование изображения, а также инфракрасные и ультрафиолетовые версии тех же изображений. К каждому файлу изображения прилагается дата и временная отметка, а временная отметка на скане моей лицензии соответствует дате в июне 2025 года, когда я вылетел на средний запад США, чтобы присутствовать на семейных похоронах.

Некоторые из более чем 153 миллионов сканированных лицензий, включая мое, содержат шесть файлов изображений с датой и временными метками, добавленными к именам файлов. Не все записи содержат фотографии, а в некоторых из них не отображаются соответствующие имена файлов.

Намереваясь выяснить источник этих данных, KrebsOnSecurity попросила более десятка друзей и членов семьи разрешить поиск их лицензий в этом сервисе. Каждый человек, чьи права удалось найти (девять из них), подтвердил, что путешествовал в даты, указанные на временных метках, прикрепленных к их изображениям, или очень близкие к ним. Неясно, в каком часовом поясе находятся эти временные метки, но из анализа записей об аренде автомобилей, предоставленных несколькими людьми, которые помогали в этом исследовании, выяснилось, что часовой пояс установлен на среднее время по Гринвичу (GMT).

Сначала я подумал, что источник данных может иметь какое-то отношение к аэропортам. Однако эта теория исчезла, когда стало очевидно, что в этом наборе данных нет паспортов. Кроме того, лишь некоторые из тех, кто помогал в этом исследовании, заявили, что показали свои водительские права в аэропорту в день поездки. Один человек, чьи права были в Нексусе, в последнее время вообще не летал, а арендовал машину в Герц в течение нескольких месяцев вокруг даты их временной метки.

Двое из тех, кто согласился помочь, являются федеральными служащими, которые заявили, что при прохождении службы безопасности в аэропорту они использовали другие формы государственного удостоверения личности. Тем не менее, каждый из этих людей заявил, что позже в тот же день они предоставили свои выданные государством водительские права при аренде транспортных средств в соответствующих пунктах назначения, и что оба арендовали свои автомобили у Hertz.

Найдя в своем календаре заметку на день моего рейса в июне 2025 года, напоминающую мне о необходимости взять с собой паспорт, я вспомнил, что на самом деле я никогда не делился своими водительскими правами, когда проходил проверку безопасности в Национальном аэропорту Рейгана в тот день, потому что у меня еще не было Real ID, водительских прав с повышенным уровнем безопасности, которые теперь требуются Администрацией транспортной безопасности (TSA) для всех внутренних поездок. Вместо этого я показал агенту TSA свой американский паспорт, выданный правительством.

Вот что интересно: мне также удалось найти в этом сервисе водительские права моей матери, и временные метки ее изображений отличаются от моих всего на несколько секунд. Это примечательно, потому что мы оба одновременно передали наши права представителю компании Hertz по аренде автомобилей.

По словам моей мамы, единственным местом, где она в тот день отдала свои водительские права, была компания по прокату автомобилей, и, если мне не изменяет память, это относится и ко мне. Я не помню, вставлял ли представитель прокатного автомобиля наши права в какую-либо машину, но помню, что они держали их несколько минут за прилавком, пока мы подписывали различные формы. KrebsOnSecurity запросила комментарий у Hertz и обновит эту историю, если они ответят.

Зак Эдвардс — известный исследователь безопасности и конфиденциальности, который недавно запустил сервис под названием DecryptAds, чтобы помочь людям лучше понять, как онлайн-рекламодатели их отслеживают. Скан водительских прав Эдвардса можно приобрести на этом сервисе по краже личных данных, и Эдвардс сказал, что временная метка в его записи соответствует середине поездки в прошлом месяце в Лас-Вегас на ежегодную конференцию по безопасности DEFCON.

Эдвардс рассказал KrebsOnSecurity, что, хотя он и не арендовал машину в Вегасе, он сдал свои права на контрольно-пропускном пункте TSA, в аптеке по продаже марихуаны в Вегасе и в своем отеле («Ария»). Но он сказал, что единственным из этих троих, кто наверняка отсканировал его удостоверение личности на каком-то устройстве, был диспансер.

Чтобы войти в аптеку по борьбе с травкой Planet13 в Лас-Вегасе, нужно пройти через красную телефонную будку. Изображение: Зак Эдвардс.

Эдвардс сказал, что диспансер, который он посетил в тот день, был Планета13сеть из нескольких штатов с магазинами в Калифорнии, Флориде, Иллинойсе и Неваде. В 2022 году поставщик идентификационной информации из Нового Орлеана idscan.net опубликовал пресс-релиз, объявляющий об эксклюзивном соглашении о проверке личности с диспансерами Planet13 на национальном уровне. IDScan сообщает, что обрабатывает удостоверения личности для более чем 1000 аптек по продаже марихуаны в 19 штатах США.

На странице «Доверие» сайта idscan.net указано, что компания предоставляет услуги проверки личности многочисленным крупным брендам, включая Hertz, Цель, Федерал Ехпресс, Моторола Решениягигант финансовых услуг Джек Генрии Цезарь Развлечения. И, как говорится в документации idscan.net, эта технология сканирует удостоверения личности как с помощью инфракрасного, так и ультрафиолетового света. Idscan.net сообщает, что системы и технологии компании ежемесячно выполняют более 21 миллиона проверок в более чем 20 000 точках по всему миру.

Изображение: idscan.net.

В сообщении KrebsOnSecurity представитель idscan.net сообщил, что расследует этот вопрос, но компания еще не поделилась официальным заявлением или содержательным ответом на конкретные вопросы, отправленные по электронной почте.

«На данный момент я не могу поделиться какой-либо дополнительной информацией, но предоставленные вами обновления были приветствованы и полезны для расследования нашей команды», — написал он. Джиллиан Коссманруководитель отдела маркетинга и операций idscan.net.

В ходе моего исследования этой истории до ФБР дошли слухи, что я пытаюсь выяснить очевидный источник данных этой новой службы кражи личных данных. Вероятно, они были проинформированы, когда я поделился с надежным источником, что Nexus также продает информацию о водительских правах помощника директора ФБР (я не нашел в Nexus лицензии директора ФБР Каша Пателя).

Ранее сегодня днем ​​меня пригласили на конференц-связь с полдюжиной агентов ФБР, включая старших руководителей киберподразделения агентства. Во время этого разговора ФБР сообщило, что ранее сегодня их местный офис в Новом Орлеане начал официальное расследование очевидного взлома с участием idscan.net.

Эдвардс сказал, что, поскольку все больше личных и онлайн-опытов требуют совместного использования водительских прав, поставщики, которые собирают эти конфиденциальные данные, должны соблюдать более высокие стандарты.

«Этот эпизод должен еще больше укрепить решимость людей, которые борются со схемами онлайн-идентификации, которые требуют от бесчисленных поставщиков запрашивать водительские права, чтобы получить доступ к услугам под видом защиты детей», — сказал Эдвардс KrebsOnSecurity. «Эти системы передают конфиденциальные данные все большему количеству сторонних поставщиков, и у нас почти нет возможности контролировать их безопасность».

Ларри Болдуин — главный исследователь разведки в компании Cybera, занимающейся кибербезопасностью. Болдуин сказал, что сканирование его водительских прав спереди и сзади, доступное на Nexus, содержит временные метки, соответствующие дате аренды автомобиля в Hertz во время недавнего отпуска.

Болдуин сказал, что служба кражи личных данных Nexus представляет собой множество серьезных угроз безопасности и конфиденциальности, отметив, что выданные государством водительские права обычно используются в качестве доказательства личности при открытии новых кредитных линий. Болдуин сказал, что сервис также может представлять опасность для многих людей, которые не хотят, чтобы их нашли, но которые не могут существенно изменить свою внешность (или, по крайней мере, недостаточно, чтобы обмануть современные инструменты сопоставления изображений на основе искусственного интеллекта).

В эту категорию людей, по его словам, входят те, кто спасается от домашнего насилия, и даже люди, которым была дана совершенно новая жизнь и личность в рамках программы федерального правительства по защите свидетелей, которая обычно предназначена для обвиняемых по уголовным делам в рэкете и расследованиях заговора, которые соглашаются сотрудничать с федеральными властями.

«Когда кажется, что мы добились некоторого прогресса в улучшении контроля аутентификации с помощью систем проверки водительских прав, это происходит, и то, от чего зависят эти улучшения, оказывается под угрозой», — сказал Болдуин.

Обновление, 2 сентября, 18:05 по восточному времени: Представитель Caesars Entertainment заявил, что Caesars не является клиентом IDScan.net и не использует VeriScan с февраля 2025 года, несмотря на то, что IDScan.net указала их в качестве клиента на своем веб-сайте. Этот человек сказал, что у Caesars не было активных учетных записей VeriScan на момент инцидента, и что он не разрешал IDScan.net сохранять данные из своих учетных записей, а также что IDScan.net заявила, что инцидент не должен повлиять на Caesars Entertainment.

Обновление, 20:56 по восточному времени: Вскоре после публикации этой истории веб-сайт службы кражи личных данных Nexus исчез из даркнета, заменив страницу входа в систему обычным текстовым сообщением: «Эта услуга больше не доступна».

Это потенциально быстро развивающаяся история. Любые изменения или обновления будут отмечены здесь вместе с отметкой времени.