FBIは、あるダークウェブマーケットプレイスが米国・カナダの運転免許証スキャン画像1億5,300万件以上を販売し始めたとされるデータ侵害について、捜査を開始しました。
「Nexus」と呼ばれるこのサービスは、極めて詳細な身元記録を提供していたとされており、その出所はルイジアナ州を拠点とする本人確認サービス提供企業である可能性があります。
Nexusは8月31日、ロシア語のサイバー犯罪フォーラム「Exploit」で宣伝され、北米全域の1億7,000万人以上に及ぶ身元証明書類へのアクセスを提供すると謳っていました。
運営者によれば、このデータ集合には運転免許証1億5,300万件以上、身分証明書1,000万件、渡航・国際身分証明書類300万件以上、医療カード少なくとも57万9,000件が含まれていたとされています。
認証なしで空検索を行うと、約1,150万ページの検索結果が返され、各ページには約15件の記録が表示されたと報じられています。これは運営者が主張する規模とおおむね一致する数値です。
データセットにはカナダの書類も含まれていましたが、記録の大半は米国居住者のものとみられます。カナダの運転免許証のみを対象とした検索では約110万件の結果が得られ、そのうちオンタリオ州からの記録が47万3,673件含まれていたと報じられています。
このマーケットプレイスの出品情報には、基本的な個人情報以上のものが含まれていました。一部の記録には、免許証の表裏の画像、標準スキャン、赤外線撮影画像、紫外線撮影画像、写真、そしてスキャンに関連するタイムスタンプが含まれていたと報じられています。
こうした資料があれば、犯罪者はより信頼性の高いなりすまし詐欺、アカウント乗っ取りの試み、合成身元の作成、ソーシャルエンジニアリング攻撃を仕掛けることが可能になります。
Nexusの運営者は、大手本人確認企業から1年以上にわたり「継続的にデータを窃取」してきたと主張しています。
このサービスに掲載された免許証の件数は24時間で約40万件増加したとされており、このデータが一度きりの過去の侵害ではなく、現在進行中の侵害の中で収集されたものである可能性を示唆しています。
KrebsOnSecurityの分析によると、被害を受けた複数の個人を調べたところ、スキャンのタイムスタンプが直近の旅行、レンタカー利用、身分証確認イベントの時期と一致していたことが分かりました。
ある事例では、2人が同時にHertzの担当者に免許証を提示した際に生成された2件の運転免許証記録のタイムスタンプが、わずか数秒しか違わなかったケースがありました。他の記録は、ラスベガスの大麻販売店やレンタカーの利用に関連するものでした。
当初の報道では空港でのセキュリティチェックが情報源の可能性として検討されていましたが、このデータ集合にはパスポートが含まれておらず、空港での身分証利用と一貫した相関関係も見られなかったことから、この説は説得力を失いました。
これまでに得られた証拠は、商業組織向けに書類スキャン技術を提供する、ニューオーリンズを拠点とする本人確認企業「IDScan.net」を指し示しています。
同社によれば、そのシステムは世界2万拠点以上で月間2,100万件を超える本人確認を処理しているとされ、赤外線・紫外線スキャン機能を備えており、Nexusで流通していたとされる画像と類似した特徴を持っています。
IDScan.netはこの件について調査中であるとしていますが、侵害の事実や潜在的な流出範囲については確認・公表していません。
ある顧客が共有したメッセージによると、同社はインシデント対応手続きを開始し、関連する証拠を保全した上で、法執行機関への連絡や弁護士の関与を行い、独立系のフォレンジック調査会社の起用にも着手したとしています。
FBIニューオーリンズ支局は、IDScan.netに関わるとみられる今回の事案について、正式な捜査を開始しています。
運転免許証の完全なスキャン画像が関わる侵害は特に深刻です。なぜなら、被害者は流出した生体情報や身分証明書類のデータを単純にリセットしたり差し替えたりすることができないためです。
免許証の画像には、氏名、住所、生年月日、身体的特徴、免許証番号、写真、バーコード、署名データが含まれることが多く、これらはいずれも本人確認の手続きで頻繁に利用される情報です。
脅威アクターはこうした記録を悪用することで、知識ベースの本人確認をすり抜けたり、サポート窓口への電話で被害者になりすましたり、金融商品を申し込んだり、説得力のある偽造書類を作成したりすることができます。
今回の情報流出は、家庭内暴力の被害者、公職者、そして自身の所在や身元を隠そうとしている人々にとって、特に高いリスクをもたらす可能性があります。
Nexusは捜査が公になった直後にオフラインとなり、サービスが利用できなくなった旨のメッセージを表示したと報じられています。
しかし、このサービスが姿を消したからといって、盗まれたデータが犯罪者間の流通から消えたわけではありません。すでにダウンロードされたり、再配布されたり、他の詐欺サービスに組み込まれたりしている可能性があります。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査を強化する
