1億5,300万件超のドライバーズライセンスを販売するサービスをFBIが捜査 – Krebs on Security

今週ダークウェブ上で立ち上がった新たな個人情報窃盗サービスが、米国およびカナダの153百万件以上のドライバーズライセンス(運転免許証)のデジタルスキャンを販売しています。このサービスで購入可能な状態になっている免許証を持つ複数の人物への取材から判明したのは、このサービスがルイジアナ州を拠点とする広く利用されている本人確認企業から収集された画像を吸い上げているとみられることです。KrebsOnSecurityはまた、連邦捜査局(FBI)ニューオーリンズ支局が本日、これらの画像の出所について正式な捜査を開始したことも把握しています。

8月31日月曜日、ある情報提供者がKrebsOnSecurityに対し、ロシア系サイバー犯罪フォーラムExploitに新規ユーザーが投稿した、北米の1億7,000万人分を超える個人の身分証明書デジタルスキャンへのアクセスを提供するサービスについて警告を寄せました。この情報提供者が私に注意を促したのは、この個人情報窃盗サービスの運営者がExploit上の最初の販売スレッドで、私のバージニア州発行のドライバーズライセンスを無料サンプルとして提示していたためです。

Nexusと名付けられたこのサービスは、米国およびカナダの人々の1億5,300万件超のドライバーズライセンスに加え、1,000万件超の身分証明書、300万件超の渡航書類および国際IDカード、少なくとも579,000件の医療カードを保有していると主張しています。

Nexusを少し調べてみると、この1億5,300万件という数字はあながち誇張ではなさそうだとわかります。Nexus上で検索条件を何も入力せずに検索を実行すると、約1,150万ページの検索結果が返ってきました。1ページあたりの表示件数はおよそ15件です。含まれているのはカナダと米国両方の人々の書類ですが、レコードの大半は米国人のものです。カナダのドライバーズライセンスに絞って検索すると、約110万件の結果が返り、そのうち最も多いのはオンタリオ州の473,673件でした。

奇妙なことに、これらの身分証明レコードにはドライバーズライセンスだけでなく、大麻ディスペンサリー(販売店)のカードも含まれています。一部のレコードでは「ソース」欄に「CDL」と記載されており、これはおそらく「商用運転免許証(Commercial Drivers License)」の略と思われます。また、別のレコードには「CAC」という出典表記が付いているものもあり、これは政府庁舎やセキュアルームへの物理的な入退室権限を付与する政府発行の身分証明カード「Common Access Card」を指している可能性があります。

Nexusの運営者は、免許証画像の出どころについて、複数のフォーチュン500企業を顧客に持つ「大手の本人確認企業」で発生している進行中の侵害であると主張しています。

「我々は1年以上にわたり、新たなデータを継続的に窃取し続け、独自のプライベートデータベースに蓄積してきた」と、このサービスはExploit上の紹介投稿で意気揚々と述べています。「レコードは購入前にプレビュー可能で、関連情報は伏せ字にしてあります。顧客の写真も、入手できる場合は表示されます」

実際、過去24時間の間に、Nexus上で入手可能とされるドライバーズライセンスのレコード件数は約40万件増加しており、盗まれたばかりの免許証データが半定期的に収集され、このサービスにアップロードされ続けていることをうかがわせます。

私のドライバーズライセンスに関するレコードには、6つの画像ファイルが含まれていました。免許証の表と裏を撮影した写真が3組あり、通常のスキャン画像に加えて、同じ画像の赤外線版と紫外線版が用意されていました。各画像ファイルには日付とタイムスタンプが付与されており、私の免許証スキャンのタイムスタンプは、家族の葬儀に参列するために米国中西部への便に搭乗した2025年6月のある日付に一致していました。

このデータの出所を突き止めようと、KrebsOnSecurityは10人以上の友人・家族に許可を得て、このサービス内で彼らの免許証を検索しました。免許証が見つかった人(9人)は全員、画像に付されたタイムスタンプの日付、あるいはそのごく近辺の日に旅行をしていたことを確認しました。これらのタイムスタンプがどのタイムゾーンに基づいているかは不明ですが、この調査に協力してくれた複数の人物が共有してくれたレンタカーの記録を確認したところ、タイムゾーンはグリニッジ標準時(GMT)に設定されているようです。

当初、私はこのデータの出どころが空港と何か関係しているのではないかと考えていました。しかし、このデータセットにパスポートが一切含まれていないことが判明し、その仮説は成り立たなくなりました。また、この調査に協力してくれた人のうち、旅行当日に空港でドライバーズライセンスを提示したと答えたのは一部にすぎませんでした。Nexusに免許証があった人物のうち一人は、最近まったく飛行機に乗っていませんでしたが、タイムスタンプの日付前後の数か月間、Hertzでレンタカーを借りていました。

調査に協力してくれたうちの2人は連邦政府職員で、空港のセキュリティチェックを通過する際は別の政府発行身分証を提示したと述べています。しかしこの2人はそれぞれ、その日の後刻、それぞれの目的地でレンタカーを借りる際に州発行のドライバーズライセンスを提示したと述べており、いずれもHertzで車を借りていました。

2025年6月のフライト当日の私のカレンダーに、パスポートを持参するようにという備忘メモが残っていたことに気づき、私はまた、その日レーガン・ナショナル空港のセキュリティチェックを通過する際に、実はドライバーズライセンスを一度も提示していなかったことを思い出しました。当時私はまだ、運輸保安庁(TSA)が現在すべての国内線で義務付けているセキュリティ強化型の運転免許証「リアルID」を取得していなかったためです。代わりに私は、TSA係官に米国政府発行のパスポートを提示していました。

ここからが興味深いところです。私は母のドライバーズライセンスもこのサービス内で見つけることができ、その画像のタイムスタンプは私自身のものとわずか数秒しか離れていませんでした。これは注目に値します。というのも、私たちは二人とも、同じタイミングでHertzのレンタカー担当者に免許証を手渡していたからです。

母によれば、その日免許証を渡した場所はレンタカー会社だけだったとのことで、記憶が正しければ、私についても同様です。レンタカー担当者が私たちの免許証を何らかの機械に挿入したかどうかは覚えていませんが、各種書類にサインをしている間、カウンターの奥で数分間免許証を預かっていたことは覚えています。KrebsOnSecurityはHertzにコメントを求めており、回答があり次第この記事を更新します。

ザック・エドワーズ氏は著名なセキュリティ・プライバシー研究者で、オンライン広告主がユーザーをどのように追跡しているかを人々がより理解できるよう支援するDecryptAdsというサービスを最近立ち上げました。エドワーズ氏のドライバーズライセンスのスキャンもこの個人情報窃盗サービスで購入可能な状態にあり、同氏によれば、そのレコードのタイムスタンプは、先月開催された年次セキュリティカンファレンス「DEFCON」出席のためのラスベガス旅行の最中の日付に一致するとのことです。

エドワーズ氏はKrebsOnSecurityに対し、ベガスではレンタカーは借りていないものの、TSAのチェックポイント、ベガスのある大麻ディスペンサリー、そして宿泊先のホテル(Aria)で免許証を提示したと語りました。ただし、この3か所のうち何らかの機器で確実にIDをスキャンされたのはディスペンサリーだけだったといいます。

エドワーズ氏によれば、その日訪れたディスペンサリーはPlanet13で、カリフォルニア州、フロリダ州、イリノイ州、ネバダ州に店舗を構える複数州展開のチェーン店です。2022年、ニューオーリンズを拠点とする本人確認企業idscan.netは、Planet13のディスペンサリーと全米規模での独占的な本人確認契約を結んだことを発表するプレスリリースを公開しています。IDScanは、米国19州の1,000店舗を超える大麻ディスペンサリーのID確認を処理していると説明しています。

idscan.netの「信頼」ページには、同社がHertz、Target、Fedex、Motorola Solutions、金融サービス大手のJack Henry、そしてCaesars Entertainmentを含む数多くの大手ブランドに本人確認サービスを提供していると記載されています。またidscan.net自身の資料にあるとおり、同社の技術は赤外線と紫外線の両方でIDをスキャンします。idscan.netによれば、同社のシステムおよび技術は、世界中の20,000か所以上の拠点で、月間2,100万件超の確認処理を行っているとのことです。

KrebsOnSecurityが問い合わせたところ、idscan.netはこの問題を調査中であると回答しましたが、同社はこれまでのところ、公式声明や、メールで送付された具体的な質問への実質的な回答は寄せていません。

「現時点でこれ以上の情報を共有することはできませんが、いただいた最新情報は歓迎すべきものであり、私たちの調査チームにとって有益なものでした」と、idscan.netのマーケティング・運営責任者であるジリアン・コスマン氏は記しています。

今回の記事のための調査を進める中で、私がこの新たな個人情報窃盗サービスのデータ出所を探っているという話が、どうやらFBIの耳にも入ったようです。私が信頼できる情報源に対し、NexusがFBI副長官のドライバーズライセンス情報も販売していると伝えたことがきっかけとなった可能性が高いでしょう(なお、FBI長官カシュ・パテル氏の免許証はNexus内には見当たりませんでした)。

本日午後早く、私はFBIサイバー犯罪対策部門の上級幹部を含む、6人ほどのFBI捜査官との電話会議に参加しました。この電話会議の中でFBIは、本日先ほど、ニューオーリンズ支局がidscan.netに関わるとみられる侵害について正式な捜査を開始したことを明らかにしました。

エドワーズ氏によれば、対面・オンラインを問わずますます多くのサービスでドライバーズライセンスの提示が求められるようになる中、こうした機密データを収集するベンダーに対しては、より高い基準を課す必要があるといいます。

「今回の一件は、子どもを守るという名目のもとで無数の事業者にドライバーズライセンスの提示を要求するオンラインID確認の仕組みに抵抗している人々の決意を、さらに強めることになるはずです」とエドワーズ氏はKrebsOnSecurityに語りました。「こうした仕組みは、機密データをますます多くのサードパーティベンダーに預けることになりますが、それが安全であることを保証するだけの監督体制はまったく整っていません」

サイバーセキュリティ企業Cyberaの主任インテリジェンス研究者を務めるラリー・ボールドウィン氏。同氏によれば、Nexus上で入手可能な自身のドライバーズライセンスの表裏スキャンには、最近の休暇でHertzからレンタカーを借りた日付に一致するタイムスタンプが含まれていたといいます。

ボールドウィン氏は、このNexusという個人情報窃盗サービスが複数の重大なセキュリティおよびプライバシー上の脅威をもたらすと指摘し、州発行のドライバーズライセンスが新規与信枠を開設する際の本人確認手段として一般的に利用されている点を挙げました。ボールドウィン氏によれば、このサービスはまた、見つかりたくないと考えているものの、自身の外見を(少なくとも今日のAIベースの画像照合ツールをだませる程度には)大きく変えることができない人々を、危険にさらしかねないといいます。

同氏によれば、この種の人々にはドメスティック・バイオレンスから逃れている人々や、連邦政府の証人保護プログラムのもとでまったく新しい人生とアイデンティティを与えられた人々までもが含まれるといいます。この証人保護プログラムは通常、恐喝や共謀事件の刑事被告人で、連邦当局への協力に同意した人々を対象に用意されているものです。

「ドライバーズライセンスの確認システムを通じて本人確認の管理体制を改善する上で、ようやく前進が見えてきたと思ったところで今回のような事態が起きてしまい、その改善の前提となっていたはずのものそのものが侵害されてしまった」とボールドウィン氏は述べています。

本件は状況が急速に変化する可能性がある案件です。変更や更新があった場合は、タイムスタンプとともにここに追記します。