本人確認サービスを手がけるIDScanは、約1億5300万件の運転免許証スキャン画像を流出させたとされるデータベース侵害に自社が関与しているとの報道を受けて、ハッカーが同社のクラウドプラットフォームに保存されていた顧客データを取得したことを認めました。
同社は9月4日に自社ウェブサイトで公開した通知でハッキングの事実を確認し、あるジャーナリストがダークウェブ上の動向をもとにこの件を報じたのと同じ日である9月1日前後にこの侵害を認識したとしています。
IDScan.netの発表によると、「現在も調査を継続中ですが、IDScan.netは、権限のない第三者がIDScan.netクラウド上のアカウント内に保存されていた特定の顧客情報にアクセス、または複製した可能性があると判断しました」としています。
「影響を受けたデータに含まれる情報の種類には、氏名や運転免許証番号、その他政府発行の身分証明書番号が含まれる可能性があります」と同社は説明しています。
IDScanは影響を受けた顧客の数については明らかにしていません。
この事案を確認したIDScanのセキュリティ通知について最初に報じたのはTechCrunchでした。この発表は先週同社のウェブサイトに掲載されたものですが、検索エンジンに対してこのページをインデックスしないよう指示する記述が含まれており、見つけにくい状態になっていました。
この事案が公になったのは、独立系サイバーセキュリティジャーナリストのBrian Krebs氏が、ロシアに関連するダークウェブマーケットプレイスであるNexusが、カナダおよび米国市民に属する1億5300万件を超える運転免許証スキャン画像へのアクセスを販売していると報じたことによるものです。
Krebs氏の報道によれば、ハッキングされたデータベースには運転免許証のスキャン画像に加えて、身分証明書のスキャン画像1000万件、旅行文書および/または国際身分証明書300万件以上、そして少なくとも57万9000件の医療カードも含まれていました。
Krebs氏は、Nexus上で販売されていた自身および他者のレコードを検索することでデータベースのサンプルを確認し、そこから流出データをIDScanに結びつけました。
IDScanはコメント要請に応じていません。
ここ数日で複数の訴訟を提起されている同社ですが、セキュリティ発表の中では、ハッカーがデータを不特定多数の悪意ある第三者に無償で公開していたわけではないとして、事態を軽く見せようとする姿勢がうかがえます。
同社の通知には「情報への完全なアクセスには支払いが必要でしたが、念のため、影響を受ける可能性のある個人に本事案について通知し、無料の信用監視および本人保護サービスへのアクセスを提供しています」と記されています。
企業は政府発行の身分証明書を確認する際にIDScanを利用しています。同社のサービスは大麻販売店、銃器店、銀行など幅広い業界で広く使われています。
本人確認は、立法者や訴訟がソーシャルメディア企業に対して政府発行の身分証明書やその他の厳格な方法での年齢確認を求める動きを強める中、特に議論の対象となっています。
FBIはこの事案について調査を開始したと発表しています。
翻訳元: https://therecord.media/idscan-data-breach-notice-drivers-licenses
