FBI、1億5300万件以上の運転免許証を販売するサービスを捜査

ダークウェブで今週立ち上げられた新しい個人情報窃盗サービスが、米国とカナダの人々の1億5300万件以上の運転免許証のデジタルスキャンを販売しています。ルイジアナ州に拠点を置く、広く利用されている本人確認会社が収集した画像が、このサービスで販売されている免許証を持つ人々のインタビューに基づくと、不正に取得されているようです。KrebsOnSecurityはまた、連邦捜査局（FBI）のニューオーリンズ支局が本日、画像の出所について公式な捜査を開始したことを知りました。この個人情報窃盗サービスで利用可能な記録には、販売されている運転免許証が見つかった数名の米国政府高官の一人である、米国国防長官ピート・ヘグセス氏の運転免許証が含まれています。8月31日（月曜日）、ある情報提供者がKrebsOnSecurityに、ロシアのサイバー犯罪フォーラムExploitの新規ユーザーが宣伝しているサービスについて警告しました。そのサービスは、北米の1億7000万人以上の人々の身分証明書のデジタルスキャンへのアクセスを提供していました。情報提供者は、この個人情報窃盗サービスの所有者が、Exploitでの最初の販売スレッドで私のバージニア州の運転免許証を無料サンプルとして提供したため、私の注意を引きました。Nexusと名付けられたこのサービスは、米国とカナダの人々の1億5300万件以上の運転免許証に加え、1000万件以上の身分証明書、300万件以上の旅行書類および/または国際ID、そして少なくとも579,000件の医療カードを保有していると主張しています。Nexusをざっと見ると、1億5300万件という数字を誇張していない可能性が高いです。Nexusで（検索パラメータを入力せずに）空白の検索を実行すると、約1150万ページの結果が表示され、ページあたり約15件の結果が表示されます。カナダと米国の両方の個人情報が含まれていますが、これらの記録の大部分はアメリカ人に関するものです。カナダの運転免許証のみを検索すると、約110万件の結果が表示され、そのうちオンタリオ州からの記録が最も多く（473,673件）なっています。興味深いことに、個人情報記録には運転免許証だけでなく、マリファナ販売店のカードも含まれています。一部の記録では、「ソース」として「CDL」と記載されており、これはおそらく「commercial drivers license（商用運転免許証）」の略でしょう。他の記録には「CAC」というソース表記があり、これは政府機関の建物や安全な部屋への物理的なアクセスを許可する政府発行の身分証明書であるCommon Access Cardを指す可能性があります。 Nexusの背後にいる人々は、免許証の画像が「主要な本人確認会社」でのアクティブな侵害から来ていると主張しており、その顧客には複数のFortune 500企業が含まれています。Nexus個人情報窃盗サービスによってリストされた記録の合計数。運転免許証の記録数は、わずか24時間の間に約40万件増加しました。「私たちは1年以上にわたり、新しいデータを継続的に私たちのプライベートデータベースに流出させてきました」と、サービスはExploitでの紹介投稿で熱狂的に述べています。「記録は、関連情報が編集された状態で、購入前にプレビューできます。顧客の写真は利用可能な場合は表示されます。」実際、過去24時間で、Nexusで利用可能とリストされている運転免許証の数は約40万件増加しており、これは、新たに盗まれた免許証データが定期的に収集され、このサービスにアップロードされていることを示唆しています。私の運転免許証を含む記録には、6つの画像ファイルが含まれています。免許証の表と裏の写真の3組、基本的な画像スキャン、そして同じ画像の赤外線および紫外線バージョンです。各画像ファイルには日付とタイムスタンプが追加されており、私の免許証スキャンのタイムスタンプは、家族の葬儀に出席するために米国中西部へ飛行機で移動した2025年6月の日付に対応しています。1億5300万件以上の免許証スキャンの一部（私のものを含む）には、ファイル名に日付とタイムスタンプが付いた6つの画像ファイルがあります。すべての記録に写真が含まれているわけではなく、写真が含まれているものでも、関連するファイル名が表示されていないものがあります。このデータの出所を突き止めることに意欲を燃やしたKrebsOnSecurityは、友人や家族に、このサービスで彼らの免許証を検索する許可を求めました。免許証が見つかった各人（9人）は、画像に添付されたタイムスタンプの日付、またはその前後に旅行したことを確認しました。これらのタイムスタンプがどのタイムゾーンであるかは不明ですが、この調査に協力した数人が共有したレンタカーの記録をレビューしたところ、タイムゾーンはグリニッジ標準時（GMT）に設定されているようです。最初は、データの出所が空港に関連しているのではないかと考えました。しかし、このデータセットにパスポートが含まれていないことが明らかになったとき、その理論は廃れました。また、調査に協力した人のうち、空港のセキュリティを通過する際に運転免許証を提示したと述べたのは一部の人だけでした。協力してくれた人のうち2人は連邦職員であり、空港のセキュリティを通過する際に他の種類の政府発行の身分証明書を提示したと述べました。しかし、それらの個人はそれぞれ、その日の後半に目的地でレンタカーを借りる際に州発行の運転免許証を提示したと述べ、両方ともHertzから車を借りていました。2025年6月のフライトの日のカレンダーにパスポートを持参するようにというリマインダーがあったことを思い出し、その日、レーガン・ナショナル空港のセキュリティを通過した際に、私は運転免許証を提示しなかったことを思い出しました。なぜなら、その時点で私は、現在運輸保安局（TSA）がすべての国内旅行に義務付けている、セキュリティ強化型運転免許証であるReal IDを持っていなかったからです。代わりに、TSAのエージェントに政府発行の米国パスポートを提示しました。ここで興味深いのは、このサービスで母の運転免許証も見つけることができたことです。そして、彼女の画像のタイムスタンプは私のものとわずか数秒しか離れていませんでした。これは注目に値します。なぜなら、私たちは二人ともその日、同じ時間にHertzのレンタカー担当者に免許証を渡したからです。母によると、その日、彼女が運転免許証を提示したのはレンタカー会社だけだったとのことです。そして、私の記憶が正しければ、私も同様でした。レンタカーの担当者が私たちの免許証を機械に挿入したかどうかは覚えていませんが、私たちが様々な書類に署名している間、カウンターの後ろで数分間それらを保持していたのを覚えています。KrebsOnSecurityはHertzにコメントを求め、返信があった場合はこの話を更新します。Zach Edwardsは、オンライン広告主がどのように自分たちを追跡しているかを人々がよりよく理解できるようにするDecryptAdsというサービスを最近立ち上げた、著名なセキュリティおよびプライバシー研究者です。Edwards氏の運転免許証のスキャンがこの個人情報窃盗サービスで販売されているのが見つかり、Edwards氏は、彼の記録のタイムスタンプは、先月ラスベガスで開催された年次DEFCONセキュリティカンファレンスへの旅行の途中に対応すると述べました。Edwards氏はKrebsOnSecurityに対し、ベガスで車を借りたわけではないが、TSAのチェックポイント、ベガスにあるマリファナ販売店、そして彼のホテル（Aria）で免許証を提示したと述べました。しかし、それら3つのうち、確実にIDを何らかのデバイスにスキャンさせたのは販売店だけだったと彼は言いました。ラスベガスのPlanet13というマリファナ販売店に入るには、赤い電話ボックスを通過する必要があります。画像：Zach Edwards。Edwards氏がその日訪れた販売店は、カリフォルニア、フロリダ、イリノイ、ネバダに店舗を持つ多州展開チェーンであるPlanet13でした。2022年、ニューオーリンズを拠点とする本人確認プロバイダーidscan.netは、Planet13のマリファナ販売店と全国的な独占的な本人確認契約を発表するプレスリリースを発行しました。IDScanは、米国19州のマリファナ販売店1,000社以上に本人確認サービスを提供していると述べています。idscan.netの「信頼」ページには、同社がHertz、Target、Fedex、Motorola Solutionsなど、数多くの大手ブランドに本人確認サービスを提供していると記載されています。