ФБР расследует торговлю сканами 153 млн водительских прав в даркнете

На этой неделе в даркнете появился сервис для кражи личности под названием Nexus, торгующий цифровыми сканами документов более чем 170 млн жителей Северной Америки. По данным Nexus, в базе — свыше 153 млн водительских удостоверений граждан США и Канады, более 10 млн ID-карт, свыше трёх миллионов проездных и международных документов, а также как минимум 579 тыс. медицинских карт. Пустой поисковый запрос выдаёт около 11,5 млн страниц результатов, так что заявленные цифры, судя по всему, не преувеличены. За сутки число записей выросло почти на 400 тысяч: данные, похоже, подгружаются регулярно.

Среди жертв — высокопоставленные чиновники. Расследование начал журналист Брайан Кребс после того, как продавец выложил его собственные права штата Вирджиния в качестве бесплатного образца. Нью-Орлеанский офис ФБР в тот же день открыл официальное расследование источника утечки.

Как вычислили источник

Каждая запись содержала до шести файлов — обычный скан лицевой и оборотной сторон, а также версии в инфракрасном и ультрафиолетовом свете, с меткой даты и времени. Кребс с разрешения знакомых и родственников проверил их документы: у всех девяти, кого удалось найти, метки совпадали с датами поездок. Первоначальная версия про аэропорты отпала — паспортов в базе не было.

Разгадка нашлась благодаря деталям. Сам журналист в аэропорту показывал паспорт, а права отдал только представителю Hertz при аренде автомобиля — причём метки его прав и прав его матери отличались на считанные секунды, ведь оба протянули документы одновременно. Другой пострадавший, исследователь Зак Эдвардс, точно знал, что его удостоверение сканировали в устройстве только в марихуановом диспансере Planet13 в Лас-Вегасе.

Все следы ведут к новоорлеанской компании idscan.net. Её техника сканирует документы в инфракрасном и ультрафиолетовом свете, а среди клиентов — Hertz, Target, FedEx, Caesars Entertainment и более тысячи диспансеров каннабиса в 19 штатах. Компания заявляет о более чем 21 млн проверок ежемесячно. В idscan.net сообщили, что изучают ситуацию, но развёрнутого комментария пока не дали.

Почему это опасно

Водительское удостоверение служит основным подтверждением личности при открытии кредитов, поэтому утечка создаёт прямую угрозу мошенничества. Исследователь Ларри Болдуин отдельно указывает на риск для тех, кто скрывается: жертв домашнего насилия и участников программы защиты свидетелей — современные системы распознавания лиц на базе ИИ не обмануть простой сменой внешности.

Эдвардс видит в этой истории аргумент против повсеместных требований предъявлять права ради доступа к онлайн-сервисам «во имя защиты детей»: чувствительные данные оседают у всё большего числа сторонних поставщиков без должного контроля за их безопасностью.

Источник: Krebs on Security