本人確認サービスを手がけるIDScanは、クラウドプラットフォームに保存されていた顧客データにハッカーがアクセスしたことを確認しました。同社が1億5,300万件を超える運転免許証スキャンデータを含む巨大なデータベースと結び付けられていると報じられてから数日後のことです。
IDScanは9月4日付のセキュリティ通知でこのインシデントを公表し、特定のデータが不正アクセスを受けた可能性があることを9月1日前後に把握したと明らかにしました。
「この事実を把握した後、直ちにシステムを保護する措置を講じるとともに、外部専門家チームを起用し、インシデントの全容と範囲の特定に着手しました」と IDScanは述べています。
同社によると、調査は現在も継続中ですが、権限を持たない第三者がIDScan.netのクラウド上のアカウントに保存されていた顧客情報にアクセス、あるいはコピーした「可能性がある」ことが判明しているといいます。
流出した可能性のある情報には、顧客の氏名や運転免許証番号、その他政府発行の身分証明書番号が含まれます。通知には明記されていませんが、この侵害により脅威アクターが運転免許証のスキャン画像も窃取できた状態だったと報じられています。
TechCrunchは IDScanの侵害通知を発見しました。この通知は9月4日に公開されていたものの、検索エンジンにページをインデックスしないよう指示するnoindexディレクティブが設定されていました。
BleepingComputerは9月4日の時点で、ハッカーがIDScanに侵入し、1億5,300万件を超える運転免許証を含むとされるデータベースへのアクセス権を販売していたとして、同社に対して複数の訴訟が提起されたとすでに報じていました。
当時、IDScanはこのインシデントについて公式には認めておらず、BleepingComputerからのコメント要請にも応じていませんでした。
同社によると、流出した情報への完全なアクセスには代金の支払いが必要だったものの、「念には念を入れて」影響を受ける可能性のある個人に通知を行い、無料の信用モニタリングおよびID保護サービスを提供しているとのことです。
IDScanと結び付けられた大規模IDデータベース
今回のインシデントが最初に明るみに出たのは、Brian Krebs氏が9月1日に、「Nexus」と呼ばれるダークウェブ上のプラットフォームが、1億5,300万件を超える米国およびカナダの運転免許証スキャンデータへのアクセス権を宣伝していると 報じたことがきっかけでした。
このサービスには、1,000万件のIDカード、300万件の渡航書類、57万9,000件の医療カードも含まれていたとされています。
Krebs氏は、自分自身や検索への同意を得た他の人物に関する記録をデータベースから検索してサンプルを検証し、流出情報の出所がIDScanであることを突き止めました。
IDScanは、政府発行の身分証明書をスキャン・認証し、情報を抽出する本人確認技術を企業向けに提供しています。同社のプラットフォームは、レンタカー会社、小売業者、金融機関、大麻販売店、銃器店、宿泊業など幅広い業種で利用されています。
Nexusサービスに関する報道が広まった後、このプラットフォームはオフラインになりましたが、サイバー犯罪者らはなお同データベースへのアクセス手段を保持しているとみられます。
それ以降、複数の脅威アクターがデータベース全体を販売していると主張していますが、BleepingComputerはこれらの販売が実際に成立しているものかどうかは確認できていません。
IDScanは連邦法執行機関と協力していると述べており、FBIも以前BleepingComputerに対し、このインシデントを捜査中であることを確認しています。
「今回のインシデントを受け、当社は直ちに調査を開始するとともに、データセキュリティに関する方針と手順を見直しました」とIDScanは述べています。
「また、連邦法執行機関の捜査にも協力しています」
BleepingComputerはこのインシデントについて複数回にわたりIDScanに問い合わせていますが、回答は得られていません。
