ランサムウェアグループは、州のDAVIDデータベースに侵入したと主張しており、9月11日の期限後には窃取したとされる記録を公開すると脅迫しています。
ShinyHunters(シャイニーハンターズ)は、フロリダ州政府が管理する、州内のドライバーに関する機密情報を含むデータベースに侵入したと主張しています。
悪名高い恐喝グループは、フロリダ州道路安全・自動車局(DHSMV)のDriver and Vehicle Information Database(DAVID)を侵害し、20万件を超える記録を窃取したと主張しています。
その証拠として、攻撃者はジェフリー・エプスタインに関する記録のスクリーンショットを公開しました。そこには住所、社会保障番号、生年月日、運転免許証番号、登録車両など、機密性の高い情報が含まれていました。
今回の侵害疑惑が発覚したのは、米国およびカナダの運転免許証のデジタルスキャン1億5300万件超を提供していた、別の闇市場サービスの存在を暴いた調査報道から、わずか数日後のことでした。Nexusと名付けられたこのデータベースには、本人確認サービス事業者を通じて収集された身分証明書が格納されていたとみられ、これを受けてFBIはスキャンデータの出所について捜査を開始しています。
ShinyHunters、DMVに期限を突き付ける
同グループのリークサイトへの投稿によると、フロリダ州DMVには9月11日という交渉期限が設けられており、これを過ぎると窃取された情報が公開されるとしています。
報道によれば、同グループはパスワードリセット機能の脆弱性を突いてDAVIDへのアクセス権を取得し、その後DMV職員のものとされるアカウントを含む複数のアカウントを侵害したと主張しています。その上で、IDごとにドライバーの記録を照会し、ページや画像をダウンロードしたとされています。
DAVIDは、権限を持つユーザーに対してドライバーと車両に関する広範な情報へのアクセスを提供しているため、侵入に成功した場合、氏名と免許証番号だけが記載されたデータベース以上のものが流出する可能性があります。
ThreatLockerのCEOであるDanny Jenkins氏は、想定される個人情報盗用のリスクについて次のように述べています。「完全なスキャンデータが犯罪者にもたらすのは、識別番号だけではありません。正規の政府発行の証明書に含まれる、顔写真、署名、住所、生年月日、その他の情報まで明らかになってしまいます」。「犯罪者はこのデータを悪用し、不正なアカウントの開設、標的型フィッシングやパスワードリセット攻撃、保険・医療・税金・政府給付金に関する詐欺、あるいは説得力のある合成身分の作成などを行う可能性があります」。
2つの異なる免許証データの流出元
フロリダ州の事案とNexusの事案は、運転免許証データの流出元が異なります。ShinyHuntersが侵入を主張しているのは、法執行機関やその他の権限を持つユーザーがドライバーと車両の記録を照会するために使用する、アクセス制限付きのフロリダ州政府データベースです。
一方のNexusデータベースには、IDScanの本人確認技術によって収集された、政府発行の身分証明書のスキャンデータが格納されていました。この侵害では数百万件に及ぶ身分証明書のスキャンデータが流出し、FBIによる捜査と複数の集団訴訟に発展しています。IDScan.netは自社の侵害を正式に認めていますが、フロリダ州DMVはShinyHuntersの主張についてまだ公式には認めていません。
とはいえ、今回の事案はShinyHuntersが常套手段としている、身代金要求か情報公開かを迫る典型的な手口に合致しています。同グループはこれまでも、組織に侵入した上でサンプルを提示してアクセス権を証明し、公開期限を設けることで被害者に圧力をかけるという手法を繰り返し用いてきました。その一例が、Ticketmaster、AT&T、サンタンデール銀行などを標的とした、2024年のSnowflake顧客データを狙ったキャンペーンです。
現時点では、ShinyHuntersによるダークウェブ上の主張と、同グループが説明する侵入手口以外に公式な確認は取れておらず、9月11日の期限がどのような展開を迎えるかは依然として不透明です。
とはいえ、今回の主張が事実であると判明した場合、流出した情報は深刻な個人情報盗用のリスクをもたらす可能性があります。Jenkins氏は、最も懸念すべき点を明確に指摘しています。運転免許証に含まれる情報の多くは、そう簡単には再発行できないというのです。
同氏は次のように述べています。「最大の懸念は、この情報が持つ不可逆性です」。「消費者はクレジットカードやパスワードを再発行することはできますが、自分の顔、生年月日、署名、身分情報の履歴を簡単に置き換えることはできません」。
Jenkins氏は、今回の侵害によるリスクを軽減するため、信用情報のフリーズ、口座の監視、そしてより強固な認証手段の利用を推奨しています。
Shweta has been writing about enterprise technology since 2017, most recently reporting on cybersecurity for CSO online. She breaks down complex topics from ransomware to zero trust architecture for both experts and everyday readers. She has a postgraduate diploma in journalism from the Asian College of Journalism, and enjoys reading fiction, watching movies, and experimenting with new recipes when she’s not busy decoding cyber threats.
