FBI、1億5300万件以上の運転免許証を販売するサービスを捜査

FBI、1億5300万件超の運転免許証を販売するサービスを捜査

ダークウェブ上で今週立ち上げられた新しいID窃盗サービスが、米国とカナダの人々の運転免許証1億5300万件以上のデジタルスキャンを販売しています。このサービスで販売されている免許証を持つ人々へのインタビューに基づくと、このサービスはルイジアナ州に拠点を置く広く利用されているID検証企業が収集した画像を吸い上げているようです。KrebsOnSecurityはまた、連邦捜査局（FBI）のニューオーリンズ支局が本日、画像の出所について公式な調査を開始したことを知りました。

［画像: FBIが捜査する運転免許証販売サービスで販売されている、ピート・ヘグセス米国国防長官の運転免許証を含む記録］

月曜日、8月31日、情報提供者がKrebsOnSecurityに、ロシアのサイバー犯罪フォーラムExploitの新ユーザーが宣伝しているサービスについて警告しました。このサービスは、北米の1億7000万人以上の個人ID書類のスキャンデータへのアクセスを提供していました。情報提供者がこの件を私の注意を引いたのは、このID窃盗サービスの所有者が、Exploitでの最初の販売スレッドで私のバージニア州の運転免許証を無料サンプルとして提供していたからです。

Nexusと名付けられたこのサービスは、米国とカナダの人々の運転免許証1億5300万件以上、身分証明書1000万件以上、旅行書類および/または国際ID300万件以上、そして医療カード579,000件以上を保有していると主張しています。

Nexusを簡単に見てみると、1億5300万件という数字を誇張している可能性は低いと思われます。Nexusで空白の検索（検索パラメータなし）を実行すると、約1150万ページの結果が表示され、1ページあたり約15件の結果が表示されます。カナダと米国の両方の個人からの書類が含まれていますが、これらの記録の大部分はアメリカ人に関するものです。カナダの運転免許証のみを検索すると、約110万件の結果が表示され、オンタリオ州からの記録が最も多く（473,673件）見られます。

興味深いことに、ID記録には運転免許証だけでなく、マリファナ販売店のカードも含まれています。「source」として「CDL」と記載されている記録もあり、これはおそらく「commercial drivers license（商用運転免許証）」の略でしょう。他の記録には「CAC」というソース表記があり、これは政府発行のIDカードであるCommon Access Cardを指す可能性があり、政府の建物や安全な部屋への物理的なアクセスを許可するものです。

Nexusの背後にいる人々は、免許証の画像が「主要なID検証企業」でのアクティブな侵害から来ていると主張しており、その顧客には複数のFortune 500企業が含まれています。

［画像: Nexus ID窃盗サービスに記載されている記録の総数。運転免許証の記録数はわずか24時間で約40万件増加しました。］

「私たちは1年以上かけて、新しいデータを継続的に私たちのプライベートデータベースに流出させてきました」と、サービスはExploitでの紹介投稿で熱狂的に述べています。「購入前に記録をプレビューでき、関連情報は編集されています。利用可能な場合は顧客の写真が表示されます。」

実際、過去24時間で、Nexusで利用可能とリストされている運転免許証の記録数は約40万件増加しており、新しく盗まれた免許証データがこのサービスに定期的に収集・アップロードされていることを示唆しています。

私の運転免許証を含む記録には、6つの画像ファイルが含まれています。免許証の表と裏の写真の3組、基本的な画像スキャン、そして同じ画像の赤外線および紫外線バージョンです。各画像ファイルには日付とタイムスタンプが付加されており、私の免許証スキャンのタイムスタンプは、私が家族の葬儀に出席するために米国中西部へ飛行機で移動した2025年6月の日付に対応しています。

［画像: 1億5300万件以上の免許証スキャンの一部（私のものを含む）には、ファイル名に日付とタイムスタンプが付加された6つの画像ファイルが含まれています。すべての記録に写真が含まれているわけではなく、写真が含まれている一部の記録には関連するファイル名が表示されていません。］

このデータの出所を突き止めることに専念し、KrebsOnSecurityは友人や家族に、このサービスで彼らの免許証を検索する許可を求めました。見つかった各人（9人）は、彼らの画像のタイムスタンプの日付、またはそれに非常に近い日付に旅行したことを確認しました。これらのタイムスタンプがどのタイムゾーンであるかは不明ですが、この調査に協力した数名が共有したレンタカーの記録をレビューしたところ、タイムゾーンはグリニッジ標準時（GMT）に設定されているようです。

最初は、データの出所が空港に関係しているのではないかと考えました。しかし、このデータセットにパスポートが含まれていないことが明らかになったため、その理論は成り立たなくなりました。また、この調査に協力した人のうち、空港で旅行当日に運転免許証を提示したと述べたのは一部の人だけでした。Nexusに免許証があった一人は最近全く飛行機に乗っていませんでしたが、タイムスタンプの日付頃に数ヶ月間Hertzで車を借りていました。

協力してくれた二人は連邦職員で、空港のセキュリティを通過する際に他の形式の政府発行IDを提示したと述べました。しかし、その個人はそれぞれ、目的地で車を借りる際に州発行の運転免許証を提示し、両者ともHertzで車を借りていました。

2025年6月のフライト当日の私のカレンダーに、パスポートを持参するようにというリマインダーがあったことを思い出し、その日、私はレーガン・ナショナル空港のセキュリティを通過する際に運転免許証を提示しなかったことを思い出しました。なぜなら、当時、運輸保安庁（TSA）がすべての国内旅行に義務付けているセキュリティ強化型運転免許証であるReal IDを持っていなかったからです。代わりに、TSAエージェントに政府発行の米国パスポートを提示しました。

ここで興味深い点があります。このサービスで私の母親の運転免許証も見つけることができ、彼女の画像のタイムスタンプは私のものと数秒しか離れていませんでした。これは注目すべきことです。なぜなら、私たちは二人とも同じ時間にHertzのレンタカー担当者に免許証を渡したからです。私の母親によると、その日、彼女が運転免許証を提示したのはレンタカー会社だけで、私の記憶が正しければ、私も同様でした。レンタカー担当者が私たちの免許証を何らかの機械に挿入したかどうかは覚えていませんが、私たちが様々な書類に署名している間、カウンターの後ろで数分間それらを保持していたのを覚えています。KrebsOnSecurityはHertzにコメントを求め、返信があった場合はこの記事を更新します。

Zach Edwardsは、オンライン広告主がどのように自分たちを追跡しているかを人々がよりよく理解するのを助けるために、最近DecryptAdsというサービスを開始した、著名なセキュリティおよびプライバシー研究者です。Edwardsの運転免許証のスキャンがこのID窃盗サービスで購入可能であり、Edwardsは彼の記録のタイムスタンプが、先月ラスベガスで開催された年次DEFCONセキュリティカンファレンスへの旅行の途中に対応すると述べました。

EdwardsはKrebsOnSecurityに対し、ベガスで車を借りなかったものの、TSAのチェックポイント、ベガスにあるマリファナ販売店、そして彼のホテル（Aria）で免許証を提示したと語りました。しかし、その3つのうち、彼のIDを何らかのデバイスでスキャンしたのは販売店だけだと彼は述べました。

［画像: ラスベガスのPlanet13のウィード販売店に入るには、赤い電話ボックスを通過する必要がある。画像：Zach Edwards。］

Edwardsによると、彼がその日訪れた販売店はPlanet13で、カリフォルニア、フロリダ、イリノイ、ネバダに店舗を持つ複数州展開のチェーンです。2022年、ニューオーリンズに拠点を置くIDプロバイダーであるidscan.netは、Planet13のマリファナ販売店との全国的な独占ID検証契約を発表するプレスリリースを公開しました。IDScanは、米国の19州にある1,000以上のマリファナ販売店のID検証を処理していると述べています。

idscan.netの「trust」ページによると、同社はHertz、Target、Fedex、Motorola Solutions、金融サービス大手Jack Henry、Caesars Entertainmentを含む多数の大手ブランドにID検証サービスを提供しています。そして、idscan.net自身のドキュメントが述べているように、その技術は赤外線と紫外線でIDをスキャンします。Idscan.netは、同社のシステムと技術が世界中の20,000以上の場所で毎月2100万件以上の検証を実行していると述べています。

［画像: idscan.net］

KrebsOnSecurityが連絡を取ったところ、idscan.netはこの件を調査中であると述べましたが、まだ公式声明や具体的な質問に対する実質的な回答を共有していません。

「現時点では追加情報をお伝えすることはできませんが、あなたが提供してくれた更新情報は歓迎され、私たちのチームの調査に役立ちました」と、idscan.netのマーケティングおよびオペレーションリーダーであるJillian Kossmanは書いています。

この記事の調査を進める中で、私がこの新しいID窃盗サービスのデータの出所を調べていることがFBIの耳に入りました。おそらく、NexusがFBI副長官の運転免許証情報も販売していることを信頼できる情報源と共有したときに、彼らは情報を得たのでしょう（NexusでFBI長官Kash Patelの免許証は見つかりませんでした）。

今日の午後早く、私はFBIのサイバー部門の上級リーダーを含む半ダースのFBI捜査官との電話会議に追加されました。その電話会議で、FBIは本日午前中にニューオーリンズ支局がidscan.netが関与すると思われる侵害について公式な捜査を開始したことを共有しました。

Edwardsは、対面およびオンラインでの体験が増えるにつれて運転免許証の共有が必要になるため、この機密データを収集するベンダーはより高い基準に準拠する必要があると述べています。

「このエピソードは、子供たちを保護するという名目で、数え切れないほどのプロバイダーにサービスへのアクセスに運転免許証を要求させるオンラインIDスキームに対抗している人々の決意をさらに強めるべきです」とEdwardsはKrebsOnSecurityに語りました。「これらのシステムは、機密データをますます多くのサードパーティベンダーに渡しており、それらが安全であることを保証するための監視が全く足りていません。」

Larry Baldwinは、サイバーセキュリティ企業Cyberaの主任インテリジェンス研究者です。Baldwinは、Nexusで入手可能な彼の運転免許証の表裏のスキャンには、最近の休暇中のHertzでのレンタカーの日付に対応するタイムスタンプが含まれていると述べています。

Baldwinは、Nexus ID窃盗サービスは複数の深刻なセキュリティおよびプライバシーの脅威をもたらすと述べ、州発行の運転免許証は、新しい信用枠を開設する際の本人確認として一般的に使用されると指摘しました。Baldwinは、このサービスは、見つかりたくないが、外見を大きく変えることができない（あるいは今日のAIベースの画像マッチングツールを騙すほどには変えられない）多くの人々を危険にさらす可能性があると述べました。

彼は、このカテゴリーの人々には、家庭内暴力から逃れている人々、さらには連邦政府の証人保護プログラムの一部として全く新しい人生とIDを与えられた人々も含まれると述べました。このプログラムは通常、連邦当局への協力を同意した、組織犯罪や共謀捜査の被告のために予約されています。

「運転免許証検証システムを通じて認証管理を改善する上で進歩しているように見えるまさにその時、このようなことが起こり、その改善が依存しているまさにそのものが侵害されたのです」とBaldwinは述べました。

更新、9月8日: IDscan.netは、短い通知を公開し、「不正な第三者が特定の顧客情報、氏名および運転免許証またはその他の政府発行のID番号を含む情報にアクセスした、または/およびコピーした可能性があることを確認しました」と述べています。同声明によると、IDscan.netは影響を受けた個人に通知し、信用保護サービスを提供しているとのことです。

更新、9月2日、午後6時05分（米国東部時間）: Caesars Entertainmentの広報担当者は、CaesarsはIDScan.netの顧客ではなく、IDScan.netがウェブサイトで顧客としてリストしているにもかかわらず、2025年2月以降VeriScanを使用していないと述べました。同担当者は、Caesarsは事件発生時にアクティブなVeriScanアカウントを持っておらず、IDScan.netにアカウントからのデータの保持を許可しておらず、IDScan.netは事件がCaesars Entertainmentに影響を与えるべきではないと述べたとのことです。

更新、午後8時56分（米国東部時間）: この記事が公開された直後、Nexus ID窃盗サービスウェブサイトはダークウェブから姿を消し、ログインページが「This service is no longer available.（このサービスは利用できません）」というプレーンテキストメッセージに置き換えられました。

これは急速に展開する可能性のあるストーリーです。変更や更新はタイムスタンプとともにここに記載されます。