ハッカーは1年以上スキャンされたすべてのID検証会社のライブフィードを持っていた

ID確認会社がスキャンした全IDのライブフィードをハッカーが入手。1年以上も。

年齢確認はプライバシー侵害の別の言い方 という部署から

オンラインで全ての人を特定しようとする最近の執拗な試み（ええ、彼らはそれを「年齢確認」と呼びたがりますが、結局は本人確認になるのですが）の当初から、これが起こるべくして起こる巨大なプライバシーの悪夢であると指摘してきました。あるいは、待っていた のではなく、すでに起こっていた のかもしれません。

今週、あらゆる種類の年齢確認や本人確認が安全ではありえないという考えに、とどめを刺すであろう、大規模な新たなデータ侵害が明らかになりました。この侵害により、1億5300万件もの運転免許証のスキャンデータが容易に入手可能になり、さらに常に増え続けています。明らかにされたその日（そしてサイトが閉鎖される直前）に、利用可能なデータベースにさらに40万件の記録が追加されました。

安全な年齢確認は存在しません。人々を危険にさらさない年齢確認は存在しません。

昨年、エリック・ゴールドマンは、これらのテクノロジーがすべて、どんなに言われようとも、巨大なプライバシーリスクであるという決定的な記事を書きましたが、人々はまだ現実逃避しています。これは、過去数年間に、確認プロバイダーとその顧客が大規模なデータ侵害を起こした数多くの例があるにもかかわらずです。

最新の情報は、ブライアン・クレブス氏を通じてもたらされました。彼はスキャンされたIDの大規模な侵害について報告しており、米国とカナダの人々の1億5300万件以上の運転免許証が、現在ダークウェブで販売されています。

今週ダークウェブでローンチされた新しいID詐欺サービスは、米国とカナダの人々の1億5300万件以上の運転免許証のデジタルスキャンを販売しています。このサービスで販売されているライセンスの所有者へのインタビューに基づくと、ルイジアナ州に拠点を置く広く利用されているID確認会社が収集した画像を吸い上げているようです。KrebsOnSecurityはまた、連邦捜査局（FBI）のニューオーリンズ支局が、画像の出所について公式な調査を開始したことも知っています。

クレブス氏は、この侵害を、Hertz（レンタカー会社）を含む多くの企業が利用していると思われるID確認会社にまで遡りました。彼が確認したところ、それだけにとどまらないようです。データベースに登録されている複数の人物に話を聞き、彼らが登録された日付とそのカレンダーを照合することで、マリファナ販売店のような場所でIDを共有した他の人々の例を見つけました。

その会社はIDScan.netというルイジアナ州の会社であることが判明しました。この会社は、Hertz、FedEx、Targetだけでなく、数千ものマリファナ販売店と契約を結んでいます。クレブス氏は、侵害されたIDの多くが実世界のビジネスと関連していることに焦点を当てていますが、IDScan.netが多くのテクノロジー企業向けの年齢確認も行っていること、州の年齢確認法や企業の導入状況を追跡するページを持っていること、そしてKOSAのような、事実上年齢確認を義務付ける法律についてさえ肯定的に論じていることを指摘する価値があります。

つまり、年齢確認や本人確認の法律を推進する主要なプレーヤーである企業が、スキャンしたすべてのIDの長期にわたる継続的な漏洩を起こしていたようです。

Yiiiiiikes。

そして、もちろん、すべての年齢確認および本人確認プロバイダーと同様に、IDScanは長年にわたり、すべてのデータがいかに安全に保たれているかを喧伝してきましたが、実際にはすべての記録がリアルタイムで漏洩していました。これは、ハッキングが明らかになってから数日経った今でもまだ公開されている、彼らの「トラストセンター」ページのものです。

［画像: IDScan.netのトラストセンターのウェブページには、セキュリティレビューバナー、検索バー、信頼性とコンプライアンス証明書のセクション、信頼できるパートナー組織のロゴグリッドが表示されています。］

それが、1年以上にわたり1億5000万件の運転免許証をリアルタイムで漏洩させながら、「データをどのように保護し、システムの信頼性を維持し、顧客とそのユーザーからの信頼を獲得しているか」を説明している会社です。そのページを更新する時期かもしれません。

しかし、これはまた、年齢確認法を推進するすべての人にとって、巨大な警告となるはずです。この分野には「信頼できる」企業があり、すべての認証について自慢しています。GDPR、CCPA、その他のすべての法律に「準拠」しています。「プライバシー慣行」や「機密性の高いIDデータがどのように責任を持って扱われているか」について「透明性」があり…そして1年以上にわたり、それらの機密性の高いすべての記録を漏洩させていました。

そして、会社の内部では誰もそれに気づいていなかったようです。

クレブス氏が明確にしているように、侵害には、システムを侵害したハッカーによってリアルタイムで盗まれていた、数千万件もの記録とIDスキャンが含まれていました。

Nexusの背後にいる人々は、ライセンス画像が「複数のフォーチュン500企業を顧客とする大手ID確認会社」でのアクティブな侵害から来ていると主張しています。

［画像: 「カテゴリ」というタイトルの表には、さまざまな種類の身分証明書とそれに関連する記録数がリストされています。運転免許証は1億5300万件以上あります。］
Nexus ID詐欺サービスによってリストされた記録の合計。運転免許証の記録数は、わずか24時間で約40万件増加しました。

「私たちは1年以上にわたり、新しいデータを継続的に私たちのプライベートデータベースに流出させてきました」と、サービスはExploitでの紹介投稿で熱心に語っています。「記録は、関連情報が編集された状態で、購入前にプレビューできます。顧客の写真は利用可能な場合は表示されます。」

実際、過去24時間で、Nexusで利用可能とリストされている運転免許証の記録数は約40万件増加しており、これは新たに盗まれたライセンスデータが半定期的に収集され、このサービスにアップロードされていることを示唆しています。

そして、公開された記録はランダムな一般市民だけではありません。クレブス氏は、現職の国防長官の運転免許証が販売されているのを発見しました。

［画像: NEXUS IDドキュメントデータベースのウェブページには、ピーター・ヘグスタード氏のロックされたミネソタ州運転免許証の記録が表示されており、ヘグスタード氏のポートレート写真と編集された個人情報、そして下部には「記録を購入」ボタンがあります。］

お買い得！国防長官の運転免許証のスキャンが100ドルです。

とにかく、侵害を取り上げるたびに、人々はそれを軽視し、年齢確認を義務付けることは完全に安全であり、心配することはないと主張します。しかし、ここに、国内最大のID確認会社の1つがあり、ハッカーが1年以上にわたり、会社内の誰も気づかないうちに、スキャンしたすべての政府IDのリアルタイムフィードを持っていたほど、パイプラインが広く開かれていました。

クレブス氏は、Cyberaのセキュリティ研究者であるラリー・ボールドウィン氏に話を聞きました。彼は、この種のデータがどれほど深刻な損害を与える可能性があるかについて語っています。

ボールドウィン氏は、Nexus ID詐欺サービスは複数の深刻なセキュリティとプライバシーの脅威をもたらすと述べ、州発行の運転免許証が新しいクレジットラインを開設する際の本人確認として一般的に使用されていると指摘しました。ボールドウィン氏は、このサービスは、見つかりたくないが、今日のAIベースの画像マッチングツールを欺くのに十分なほど自分の外見を変えることができない多くの人々を危険にさらす可能性があると述べました。

このカテゴリーの人々には、家庭内暴力から逃れている人々、さらには連邦政府の証人保護プログラムの一部として全く新しい人生と身元を与えられた人々も含まれると彼は言いました。このプログラムは、連邦当局に協力することに同意した、恐喝や共謀捜査の被告のために一般的に予約されています。

「運転免許証確認システムを通じて認証管理を改善する上で進歩しているように見えるまさにその時、このようなことが起こり、これらの改善が依存しているまさにそのものが侵害されるのです」とボールドウィン氏は言いました。

この時点で、年齢確認要件を支持し続けている人、特に「子供の安全」のためだと主張している人は、このようなデータ侵害によって不必要に危険にさらされた何百万もの人々全員に対して説明責任を負うべきです。

年齢確認や本人確認を安全に行うことはできません。それは常に何らかの記録を作成し、その記録のセットは常に標的となります。それがここで起こったことです。そして、それはどのようなシステムでも起こることです。

Filed Under: age assurance, age verification, data breach, hackers, privacy
Companies: hertz, idscan.net