Новый сервис по борьбе с кражей личных данных, запущенный на этой неделе в даркнете, продаёт цифровые сканирования более 153 миллионов водительских удостоверений от людей из США и Канады. Судя по интервью с лицами, чьи права доступны для покупки на этом сервисе, по-видимому, он откачивает изображения, собранные широко используемой компанией по верификации личности из Луизианы. KrebsOnSecurity также выяснил, что новоорлеанское отделение Федеральное бюро расследований (ФБР) сегодня начало официальное расследование источника изображений.

Запись, доступная в этой службе по борьбе с кражей личных данных, включающая водительские права министра обороны США Пита Хегсета, одного из нескольких высокопоставленных государственных чиновников США, чьи водительские права можно найти на продажу.

В понедельник, 31 августа, источник сообщил KrebsOnSecurity о сервисе, рекламируемом новым пользователем на российском форуме по киберпреступности Эксплойт , предоставляя доступ к цифровым сканам документов более чем 170 миллионов человек в Северной Америке. Источник обратил моё внимание на это, потому что владелец этого сервиса по краже личных данных предложил моё водительское удостоверение Вирджинии в качестве бесплатного образца в своей первой теме продаж на Exploit.

Служба, получившая название Nexus , утверждает, что имеет более 153 миллионов водительских прав для жителей США и Канады, а также более 10 миллионов удостоверений личности; более трёх миллионов проездных документов и/или международных удостоверений личности; и как минимум 579 000 медицинских карт.

Быстрый взгляд на Nexus показывает, что они, вероятно, не преувеличивают относительно числа в 153 миллиона: пустой поиск в Nexus (без введения параметров поиска) даёт примерно 11,5 миллиона страниц результатов, при этом на странице отображается примерно 15 результатов. В нем представлены документы людей как из Канады, так и из США, но основная часть этих записей касается американцев: поиск только канадских водительских прав даёт примерно 1,1 миллиона результатов, с наибольшей концентрацией в Онтарио (473 673 записи).

Любопытно, что в записях об удостоверении личности есть не только водительские права, но и карты диспансеров марихуаны. Некоторые записи указывают свой «источник» как «CDL», предположительно сокращение от «коммерческое водительское удостоверение». Другие записи содержат исходную пометку «CAC», которая может относиться к Common Access Cards — государственным удостоверениям личности, предоставляющим физический доступ к правительственным зданиям и охраняемым помещениям.

Люди, стоящие за Nexus, утверждают, что изображения лицензий получены в результате активной взломы в «крупной компании по проверке личности», клиентами которой являются несколько компаний из списка Fortune 500.

Рекордные суммы, указанные службой кражи личных данных Nexus. Количество записей о водительских правах увеличилось почти на 400 000 всего за 24 часа.

«Мы уже более года непрерывно внедряем новые данные в нашу личную базу данных», — с энтузиазмом отметил сервис в своём вступительном посте на Exploit. «Записи доступны для предварительного просмотра перед покупкой с соответствующей информацией засекречённой. Фотографии клиентов отображаются, если они доступны.»

Действительно, за последние 24 часа количество записей водительских прав, указанных как доступных в Nexus, увеличилось почти на 400 000, что говорит о том, что недавно украденные данные о правах собираются и загружаются в этот сервис на полурегулярной основе.

Запись, в которой указаны мои водительские права, включает шесть файлов с изображениями — три пары фотографий с лицевой и задней стороны водительских прав — базовое сканирование изображения — а также инфракрасные и ультрафиолетовые версии тех же изображений. К каждому файлу с изображением добавляется дата и отметка времени, а отметка времени на моём сканировании соответствует дате в июне 2025 года, когда я летел на Средний Запад США, чтобы посетить семейные похороны.

Некоторые из 153+ сканов лицензий — включая мои — содержат шесть файлов с изображениями с датами и временем, добавленными к именам файлов. Не все записи содержат фотографии, а некоторые с фотографиями не отображают соответствующие имена файлов.

Стремясь выяснить источник этих данных, KrebsOnSecurity запросил разрешение более десятка друзей и членов семьи искать свои права в этой службе. Каждый человек, чьи права были найдены (девять человек), подтвердил, что путешествовал в или очень близко к датам, указанным на временных метках, приложенных к их фотографиям. Неясно, в каком часовом поясе находятся эти временные метки, но по просмотру записей аренды автомобилей, предоставленными несколькими людьми, помогавшими в исследовании, часовой пояс установлен на Гринвичское среднее время (GMT).

Сначала я думал, что источник данных может быть связан с этимВ аэропортах. Однако эта теория исчезла, когда стало ясно, что в этом наборе данных нет паспортов. Кроме того, только некоторые из тех, кто помогал с этим исследованием, сказали, что показывали водительские права в аэропорту в день поездки. Один человек с водительским правом в Нексусе недавно вообще не летал, но арендовал машину у Герц В течение нескольких месяцев примерно с датой их отметки.

Двое из тех, кто согласился помочь, — федеральные служащие, которые заявили, что при прохождении безопасности аэропорта имели другие виды удостоверения личности. Однако эти лица сообщили, что позже в тот же день при аренде автомобилей в своих местах назначения они делили свои государственные водительские права, и оба арендовали свои автомобили у Hertz.

После того как я нашёл в календаре заметку на день моего рейса в июне 2025 года с напоминанием взять с собой паспорт, я вспомнил, что при прохождении контроля в аэропорту Рейгана в тот день я так и не делился своими водительскими правами, потому что у меня ещё не было Real ID — водительских прав с повышенной безопасностью, которые теперь требуются Управлением транспортной безопасности (TSA) для всех внутренних поездок. Вместо этого я показал агенту TSA свой государственный паспорт США.

Вот где становится интересно: мне удалось найти водительские права моей мамы в этом сервисе, и временные метки её фотографий отличаются всего в нескольких секундах от моих. Это примечательно, потому что мы оба одновременно отдали свои права представителю аренды Hertz.

По словам моей мамы, единственное место, где она выдавала водительские права на тот день, — это компания по прокату автомобилей, и если память не изменяет, это тоже верно для меня. Я не помню, вставлял ли представитель прокатной машины наши права в какой-либо автомат, но помню, что они держали их несколько минут за стойкой, пока мы подписывали разные формы. KrebsOnSecurity запросили комментарий у Hertz и обновят эту историю, если они ответят.

Зак Эдвардс — известный исследователь в области безопасности и конфиденциальности, который недавно запустил сервис DecryptAds, чтобы помочь людям лучше понять, как онлайн-рекламодатели отслеживают их. Скан водительских прав Эдвардса доступен для покупки на этом сервисе по борьбе с кражей личных данных, и Эдвардс сказал, что отметка времени в его записи соответствует середине поездки в прошлом месяце в Лас-Вегас на ежегодную конференцию по безопасности DEFCON.

Эдвардс рассказал KrebsOnSecurity, что хотя он не арендовал машину в Вегасе, он сдал права на контрольно-пропускном пункте TSA, в диспансере марихуаны в Вегасе и в своём отеле (Aria). Но он сказал, что единственный из этих трёх человек, который точно сканировал его удостоверение в каком-то устройстве, — это диспансер.

Чтобы попасть в диспансер травки на Planet13 в Лас-Вегасе, нужно пройти через красную телефонную будку. Изображение: Зак Эдвардс.

Эдвардс сказал, что диспансер, который он посетил в тот день, был Planet13 , многоштатная сеть с магазинами в Калифорнии, Флориде, Иллинойсе и Неваде. В 2022 году провайдер идентификации из Нового Орлеана idscan.net опубликовал пресс-релиз, объявляющий об эксклюзивном соглашении о верификации личности с диспансерами Planet13 по всей стране. IDScan заявляет, что обрабатывает проверку личности более чем 1000 марихуанных диспансеров в 19 штатах США.

Страница «доверие» idscan.net года гласит, что компания предоставляет услуги по верификации личности для многих крупных брендов, включая Hertz, Цель , Fedex , Motorola Solutions , финансовый гигант Джек Генри , и Caesars Entertainment . И, как указано в собственной документации idscan.net, технология сканирует идентификаторы как с помощью инфракрасного, так и ультрафиолетового излучения. Idscan.net сообщает, что системы и технологии компании проводят более 21 миллиона верификаций ежемесячно в более чем 20 000 точках по всему миру.

Изображение: idscan.net.

По запросу KrebsOnSecurity idscan.net сообщила, что ведёт расследование по этому делу, но пока не предоставила официального заявления или содержательного ответа на конкретные вопросы, отправленные по электронной почте.

«На данный момент я не могу поделиться дополнительной информацией, но обновления, которые вы предоставили, были приветствуются и полезны для расследования нашей команды», — написал Джиллиан Коссман , руководитель по маркетингу и операциям в idscan.net.

В ходе моего исследования для этой статьи, по-видимому, дошла информация до ФБР, что я копаюсь в источнике данных этой новой службы кражи личных данных. Вероятно, их предупредили, когда я поделился с надёжным источником, что Nexus aLSO продаёт данные о водительских правах помощника директора ФБ (я не нашёл водительские права директора ФБ Каша Пателя в Nexus).

Ранее сегодня днём меня включили в конференц-звонок с полдюжиной агентов ФБР, включая старших руководителей киберотдела агентства. Во время этого звонка ФБ сообщило, что сегодня их офис в Новом Орлеане начал официальное расследование предполагаемого утечки, связанного с idscan.net.

Эдвардс отметил, что по мере того, как для личного и онлайн-опыта требуется совместное использование водительских прав, поставщики, собирающие эти чувствительные данные, должны быть более высокими стандартами.

«Этот эпизод должен ещё больше укрепить решимость людей, которые борются с онлайн-схемами удостоверения личности, которые требуют бесчисленного количества поставщиков требовать водительские права, чтобы получить доступ к сервисам под предлогом защиты детей», — сказал Эдвардс KrebsOnSecurity. «Эти системы передают конфиденциальные данные всё большему числу сторонних поставщиков, и у нас нет достаточного контроля, чтобы обеспечить их безопасность.»

Ларри Болдуин является главным исследователем в области разведки в компании Cybera, занимающейся кибербезопасностью. Болдуин сказал, что сканирование водительских прав на переднем и заднем днях, доступное в Nexus, содержит временные метки, соответствующие дате аренды автомобиля от Hertz во время недавнего отпуска.

Болдуин отметил, что сервис Nexus по краже личных данных представляет множество серьёзных угроз безопасности и конфиденциальности, отметив, что государственные водительские права часто используются как подтверждение личности при открытии новых кредитных линий. Болдуин отметил, что сервис также может опасно раскрыть многих людей, которые не хотят быть найденными, но которые не могут существенно изменить свою внешность (или, по крайней мере, не настолько, чтобы обмануть современные инструменты сопоставления изображений на базе ИИ).

Эта категория людей, по его словам, включает тех, кто бежал от домашнего насилия, а также людей, которым была назначена совершенно новая жизнь и идентичность в рамках федеральной программы защиты свидетелей, которая обычно предназначена для обвиняемых в расследованиях рэкета и заговора, которые соглашаются сотрудничать с федеральными властями.

«Как только кажется, что мы добиваемся прогресса в улучшении контроля аутентификации через системы проверки водительских удостоверений, это происходит, и именно то, от чего зависят эти улучшения, оказывается под угрозой», — сказал Болдуин.

Это потенциально быстро развивающаяся история. Любые изменения или обновления будут отмечены здесь вместе с временной меткой.