1億5,300万件のドライバーズライセンス画像がダークウェブで販売

脅威アクターが今週、ダークウェブ上で1億5,300万件を超える米国・カナダのドライバーズライセンスのデジタルスキャン画像の販売を開始しました。

これらのドライバーズライセンスは、Nexusと呼ばれる個人情報盗難サービス上に出現しました。同時に、あるロシアのサイバー犯罪フォーラムでも脅威アクターが同サービスの宣伝を始め、1億7,000万人分を超える個人のIDを保有していると主張しています。

Nexus上では、1億5,300万件を超えるドライバーズライセンス、1,000万件を超える身分証明書、300万件を超える渡航書類・国際ID、そしておよそ58万件の医療カードが確認できました。

調査報道記者のBrian Krebs氏によると、Nexusで空白検索を行ったところ、約1億5,300万件の結果が返されたとのことです。このうちカナダ発行のドライバーズライセンスは約110万件にとどまりました。

Nexusの背後にいる脅威アクターは、これらの書類は複数のフォーチュン500企業にサービスを提供する本人確認事業者で発生した現在進行中の侵害から流出したものだと主張していると、Krebs氏は報じています。

Krebs氏は自身のドライバーズライセンスや他の個人の情報がNexus上に存在することを確認した上で、これらの書類は本人確認プラットフォームであるIDScan.netから流出した可能性が高いと結論付けています。

ルイジアナ州を拠点とするIDScan.net社は、不正利用防止、アクセス管理、年齢確認サービスに加え、ID認証式のドアロックやモバイルIDスキャナーも提供しています。

同社によると、自動車、銀行・フィンテック、ゲーム、教育、運輸、宿泊、法執行、小売、警備など、12業種にわたる大手ブランドと取引があり、20,000カ所を超える拠点で毎月2,100万件を超える本人確認を実施しているといいます。

SecurityWeekはこの潜在的なデータ侵害についてコメントを求めるためIDScan社にメールで問い合わせており、同社から回答があり次第この記事を更新する予定です。

Krebs氏によると、盗まれたIDに関する同氏の記事が公開された直後、Nexusプラットフォームは閉鎖されたとのことです。

しかし、IDScan社で起きた可能性のあるデータ侵害についてはFBIも把握したようで、正式な捜査に乗り出しています。Nexusの背後にいる脅威アクターが流出させたドライバーズライセンスの一部は、どうやらFBI捜査官本人のものも含まれているようです。

「まず教訓として言えるのは、組織は身元確認の証拠がいずれ漏洩する可能性があるという前提でIDシステムを設計すべきだということです。一見本物らしく見える書類であっても、いつまでも本人確認の十分な証拠として機能し続けるとは限りません。組織は自らが保有する身元確認データを棚卸しし、誰がそれを収集しているのか、なぜ必要なのか、どこに流通しているのか、いつ削除されるのかを明確にする必要があります」と、NCC Groupのシニアアドバイザー兼ディレクターであるTim Rawlins氏は述べています。

「本人確認事業者との契約においては、ログ記録、データの分離、保持期間、インシデント発生時の通知、証拠へのアクセス、独立した第三者による保証に関する要件を定めておくべきです。組織はまた、サービスアカウント、API、管理者アカウントに関わる異常な挙動を含め、通常とは異なる大量アクセスやデータ流出の兆候を監視する必要があります」とRawlins氏は付け加えています。

個人としては、どうしても必要な場合を除いてドライバーズライセンスのコピーを他者と共有しないようにし、本人確認のためにIDを提示する際には、スキャンや撮影、保存をせずに確認できないか尋ねるようにすべきです。