IDScan、1億5,300万件の運転免許証データ流出との関連を認める

1億5,300万件を超える運転免許証のスキャンデータへのアクセスを提供していたダークウェブのマーケットプレイスが、本人確認サービスを手がけるIDScan.netの情報流出と関連していることが明らかになりました。

ルイジアナ州を拠点とする同社によると、9月1日前後にシステム改ざんの可能性を示す報告を受けたことをきっかけに調査したところ、クラウドプラットフォーム上の顧客アカウントに保存されていた情報に第三者が不正にアクセス、あるいはコピーした可能性があるといいます。

この公表は、サイバーセキュリティジャーナリストのBrian Krebs氏による調査を受けたものです。同氏は「Nexus」という名で知られる違法検索サービスをIDScanのインフラと結び付けました。このマーケットプレイスは、米国およびカナダの人々の運転免許証をはじめとする本人確認書類数百万件へのアクセスを提供していたとされています。 

Krebs氏、Nexusのデータの出所をIDScanと特定 

同社は今回のセキュリティ上の不備について、9月4日付の告知で公表しました。それによると、9月1日前後に「システムが改ざんされたことを示す情報を受け取った」としています。

「調査は現在も継続中ですが、IDScan.netは、IDScan.netクラウド内の顧客アカウントに保存されていた特定の顧客情報に対し、第三者が不正にアクセスしたか、またはコピーした可能性があると判断しました」とIDScanは説明しており、流出した可能性のある記録には氏名、運転免許証の詳細情報、その他政府発行のID番号が含まれるとしています。

今回の公表は、サイバーセキュリティジャーナリストのBrian Krebs氏による調査を受けたものです。同氏は「Nexus」と呼ばれる商用の違法検索プラットフォームの出所をIDScanのサーバーまでたどりました。このアンダーグラウンドサービスは、米国とカナダにまたがる1億5,300万件を超える運転免許証、1,000万件のIDカード、300万件の渡航書類、57万9,000件の医療カードへのアクセスを売りさばいていたとされています。 

流出した記録には一般消費者に加え、ヘグセス国防長官を含む政府高官の情報も含まれていたと報じられています。

FBIは本件について問い合わせを受けていることを認めており、一方でIDScanは集団訴訟の波に直面しています。

本人確認書類の窃取が長期的リスクを生む理由

今回の情報流出は、現代の商取引に潜む構造的な欠陥を浮き彫りにしています。消費者はレンタカーの受付窓口や大麻ディスペンサリー、銃器店の店頭で、自分の生体情報付き顔写真や身分証のバーコードがどの外部クラウドに取り込まれているのかを知らないまま、現物のカードを店員に手渡しているのです。

大手の本人確認プロバイダーが多数の顧客企業にまたがってこうした記録を保持している場合、単一の情報流出であっても、被害者自身が同じ基盤プラットフォームとつながっていることに気づいてすらいなかった企業を通じて収集された認証情報が、まとめて流出してしまう可能性があります。

本人確認書類の窃取が長期的リスクを生む理由

このダークウェブのマーケットプレイスは発覚後まもなく閉鎖されましたが、犯罪者側が複製したデータをなお保持している可能性は残っています。スキャン画像と番号がまとめて流出した以上、被害者はローン詐欺、アカウント乗っ取り、合成ID詐欺といったリスクに今後も晒され続けることになります。

IDScanは、無償のクレジットモニタリングおよびID復旧サービスを提供しているとしています。同社は利用者に対し、信用情報を確認するとともに、Equifax、Experian、TransUnionの各社に直接不正利用警告の申請や信用情報のフリーズを申し込むよう呼びかけています。

政府発行の身分証情報は流出後も長期間にわたって悪用され得るため、被害者は身に覚えのない本人確認依頼やローン申請、アカウント復旧の連絡についても、IDに記載された情報が悪用されている可能性を念頭に警戒する必要があります。 

その他のニュース: 信頼されたGoogleのサービスを悪用し、Microsoftの認証情報を盗み出すフィッシングリンクを偽装する手口が確認されています。一部のケースでは、被害者のデバイスへの持続的なリモートアクセスを確立するためにScreenConnectをインストールする事例も見られます。