IDScan подтвердила кражу данных из 150 млн водительских прав
Американский сервис проверки личности IDScan подтвердил взлом своей облачной инфраструктуры и кражу данных из более чем 150 млн записей водительских прав. Компания из Луизианы сообщила, что похищенная информация включает полные имена, номера водительских удостоверений и идентификаторы из других государственных документов, включая паспорта.
IDScan применяют корпоративные клиенты для проверки документов посетителей и покупателей: среди пользователей сервиса есть развлекательные площадки и каннабис-диспансеры. Компания не назвала точное число затронутых людей, но указала, что хранит свыше 150 млн записей водительских прав.
Что известно о публикации данных
Уведомление на сайте стало первым прямым признанием IDScan факта взлома. Неделей ранее компания сообщала лишь о расследовании инцидента и не подтверждала несанкционированное проникновение в системы.
По заявлению IDScan, информация о предполагаемом взломе поступила примерно 1 сентября. В тот же день независимый журналист по кибербезопасности Брайан Кребс рассказал о ресурсе в даркнете, который позволял искать сведения о водительских правах жителей США и Канады, в том числе фотографии.
Кребс проверил достоверность базы по собственной записи. В ней также обнаружились данные известных лиц, включая министра обороны США Пита Хегсета. Ещё один исследователь безопасности подтвердил подлинность собственных данных для публикации Кребса.
Расследование продолжается
IDScan сообщила, что продолжает расследование. В уведомлении сказано, что полный доступ к информации требовал оплаты; компания не уточнила, связывались ли злоумышленники с ней с требованием выкупа за нераскрытие полного массива данных.
О предполагаемой утечке были осведомлены Пентагон и ФБР. Представитель ФБР подтвердил, что ведомство изучает инцидент. На запрос о дополнительных обстоятельствах, включая возможное требование выкупа, IDScan не ответила.
Что это означает для компаний
Инцидент затрагивает сервис, через который бизнес обрабатывает особенно чувствительные документы клиентов. Компаниям, использующим внешнюю верификацию личности, стоит проверить перечень передаваемых полей, сроки хранения копий документов, права доступа к облачным данным и порядок уведомления клиентов при инциденте. Подтверждение IDScan показывает, что эти меры важны даже тогда, когда проверка удостоверений передана специализированному поставщику.