FBI、ダークウェブ上の運転免許証1億5,300万件を捜査

FBIは、Nexusと呼ばれるダークウェブ上のサービスが、米国およびカナダの人々の運転免許証スキャン画像を1億5,300万件以上販売していたとの報告について捜査を進めています。この数字はNexus自身によるもので、第三者による独立した確認は取れていません。

Nexusはロシアのサイバー犯罪フォーラム「Exploit」で宣伝されており、運転免許証やIDカード、渡航書類、医療カードのデジタルスキャン画像を提供していました。報道によれば、このデータベースには大麻販売店の会員カードなど、その他の政府発行身分証明書も含まれていたとされています。

セキュリティジャーナリストのBrian Krebs氏がこの情報漏えいとみられる事案を調査していたことを受け、FBIニューオーリンズ支局が捜査を開始しました。Reutersへの声明で同局は「本件について調査中」としながらも、「捜査が進行中であるため」コメントは控えるとしています。

身元確認業者を示す手がかり

最も有力な手がかりとなったのは、免許証画像に付与されたタイムスタンプでした。Krebs氏は自身の免許証がこのデータベースに含まれているのを発見しました。表と裏の画像に加え、赤外線・紫外線スキャンまで含まれていたといいます。そのタイムスタンプは、2025年6月に同氏と母親がHertzで免許証を提示した際の旅行日時と一致していました。捜索への同意に応じた他の人々も、自分たちの免許証を発見しており、そのタイムスタンプは各自が企業にIDを提示した機会と一致していました。

セキュリティ研究者のZach Edwards氏も自身の免許証を見つけています。同氏のタイムスタンプは、ラスベガス旅行中にPlanet13のディスペンサリー(大麻販売店)でIDを提示した際のものと一致していました。

IDScan.netは、数千の拠点に身元確認技術を提供していると説明しており、HertzやPlanet13を含む企業との取引関係を宣伝しています。同社はKrebs氏の取材に対し、調査中であると答えました。

IDScan.netでマーケティング・運用を統括するJillian Kossman氏はKrebsOnSecurityに対し、「現時点で追加情報を共有することはできませんが、皆様からいただいた最新情報は歓迎すべきものであり、当社チームの調査に役立っています」と述べています。

Nexusは、Krebs氏がレポートを公開した直後にダークウェブから姿を消しました。Reutersによれば、流出データの出所は独立した形では確認されていないとのことです。

今回の事案は、近年ますます一般的になっているシステムの弱点を露呈させました。企業が身元確認業務を専門業者に委託する一方で、消費者は自分の身分証明データが最終的にどこへ渡るのか、ほとんど把握できていないケースが多いのです。

これは、責任の所在をめぐる厄介な空白を生み出します。消費者はレンタカー会社やホテル、ディスペンサリー、ウェブサイトを信頼していても、実際に最も機微な情報を扱っているのは、目に見えないところで動く第三者業者であることが少なくありません。年齢確認をはじめとする身元確認の仕組みが拡大するにつれ、この違いはさらに重要性を増していきます。身分証明データを受け取ったり保持したりする業者が増えるたびに、情報漏えいの新たなリスクポイントが生まれることになります。

消費者が取るべき対応

自分の情報が漏えいした可能性があると考える人は、フィッシングの試みやアカウント復旧を装った詐欺、不正なクレジット申請に注意する必要があります。また、クレジットフリーズ(信用情報の凍結)を利用すれば、盗まれた身分証明情報を使って犯罪者が新たなクレジット口座を開設するのを防ぐ助けになります。

企業にとって今回の事案は、身元確認業務を外部委託しても、セキュリティ上の責任まで委託先に移せるわけではないという警告といえます。政府発行IDを収集する企業は、委託先がどのようなデータを受け取り、どれくらいの期間保持し、誰がアクセスできるのか、そしてそれらのシステムがどのように保護されているのかを把握しておくべきです。

関連記事: 直近発生したAssuranceAmericaの情報漏えい事案では、攻撃者が従業員アカウントを侵害したことで、約700万人分のドライバーのデータが流出しました。