Nexus заявил о краже базы с 150 млн водительских прав и паспортов

Теневой сервис Nexus заявил, что сделал доступными для поиска более 150 млн водительских прав и паспортов жителей США и Канады. Независимый журналист по кибербезопасности Брайан Кребс сообщил, что вероятным источником могла стать компания IDScan, которая проверяет государственные удостоверения личности для бизнеса.

Что известно о базе Nexus

Nexus появился в даркнете на этой неделе. В объявлении на известном русскоязычном киберпреступном форуме его создатели утверждали, что получают около 500 тыс. новых документов в день от «крупной компании по проверке личности». Такая формулировка предполагает почти постоянный доступ к системам предполагаемого поставщика.

В описании сервиса также говорилось, что при наличии в выдаче показываются фотографии клиентов. Кребс нашёл в базе данные собственной водительской лицензии и тем самым подтвердил подлинность записей. На сайте поиска также была указана фотография министра обороны США Пита Хегсета.

Сразу после выхода материала Кребса Nexus отключился. Представитель Министерства обороны США не дал оперативного комментария по поводу публикации.

Почему подозрения указывают на IDScan

Кребс работал с исследователем безопасности Заком Эдвардсом, чьё удостоверение также оказалось среди похищенных данных. Они назвали IDScan наиболее вероятным источником утечки. Компания из Луизианы предоставляет проверку документов крупным технологическим и потребительским брендам и, по собственному описанию, ежемесячно обрабатывает десятки миллионов удостоверений по всему миру.

Генеральный директор IDScan Джимми Руссель не ответил на запрос TechCrunch. Операционный директор компании Джиллейн Коссман сообщила Кребсу, что IDScan расследует произошедшее. Офис ФБР в Новом Орлеане также изучает предполагаемый взлом, хотя представитель бюро не ответил на запрос TechCrunch.

Контекст для сервисов проверки возраста

Сообщение об инциденте появилось на фоне распространения законов о проверке возраста: взрослым всё чаще предлагают загрузить удостоверение личности для доступа к сайту или приложению. Эксперты по безопасности и защитники приватности давно указывают на риск длительного хранения больших массивов таких документов.

Для компаний, принимающих документы через внешние сервисы, практический вывод состоит в необходимости контролировать объём и сроки хранения удостоверений, а также учитывать риски у подрядчиков по верификации. Расследование IDScan и ФБР должно установить, был ли этот сервис источником базы Nexus и как именно могли быть получены записи.