В даркнете продают сканы 153 млн водительских прав, ФБР ищет источник

1 сентября журналист Брайан Кребс рассказал о новом сервисе в даркнете под названием Nexus, который продаёт цифровые сканы более чем 153 млн водительских удостоверений жителей США и Канады. Продавцы утверждают, что выгружают данные из взломанной компании больше года; косвенные улики Кребса указывают на IDScan.net из Луизианы, чьи сканеры проверяют документы в прокатах автомобилей, магазинах, казино и отелях. Сама компания говорит, что расследует ситуацию, а полевой офис ФБР в Новом Орлеане в тот же день открыл официальное расследование предполагаемого взлома.

Для разработчиков, которые встраивают проверку по документам в свои продукты, это история о том, куда на самом деле уходят сканы паспортов и прав после «мгновенной верификации». Если версия Кребса подтвердится, окажется, что снимки документов, сделанные при аренде машины или на входе в магазин, хранились у стороннего поставщика месяцами, и компрометация одного поставщика затронула клиентов многих брендов, которые о нём даже не слышали.

Что именно продавал Nexus

Источник Кребса обратил внимание на объявление 31 августа на русскоязычном форуме Exploit: новый пользователь предлагал доступ к сканам документов более 170 млн жителей Северной Америки и в качестве бесплатного образца выложил права самого журналиста. Сервис, названный Nexus, перечислял более 153 млн водительских удостоверений США и Канады, более 10 млн идентификационных карт, более 3 млн проездных документов и международных удостоверений и не менее 579 тысяч медицинских карточек.

Заявленные объёмы базы Nexus по типам документов, млн записей; проездные документы и международные удостоверения показаны одной категорией, как у продавцов. График: Tproger по данным KrebsOnSecurity

Цифры похожи на правду: поиск без параметров возвращал примерно 11,5 млн страниц по 15 записей на каждой. Основная масса записей приходится на американцев, канадских прав около 1,1 млн, больше всего из Онтарио (473 673 записи). Среди источников записей встречаются пометки CDL (коммерческие водительские права) и CAC (карты доступа в правительственные здания США), а также карты клиентов диспансеров марихуаны.

Продавцы утверждали, что данные идут из «активного взлома крупной компании по верификации личности», среди клиентов которой есть компании из Fortune 500. В стартовом посте они писали, что «непрерывно выгружают новые данные больше года в свою приватную базу» (перевод редакции). За сутки наблюдений число водительских удостоверений в Nexus выросло почти на 400 тысяч, то есть выгрузка продолжалась в момент публикации.

Как Кребс вышел на IDScan.net

В записи с правами журналиста лежали шесть файлов: три пары снимков лицевой и оборотной стороны, обычный скан плюс версии в инфракрасном и ультрафиолетовом свете. Такие снимки делают специализированные сканеры документов, у смартфона такого режима нет. К каждому файлу была приписана дата и время; у Кребса метка совпала с июнем 2025 года, когда он летал на похороны родственника.

Дальше расследование пошло по временным меткам. Более десятка друзей и родственников журналиста разрешили поискать их документы; нашлись девять, и у каждого дата снимка совпала с поездкой. Версия про аэропорты отпала: среди проверенных Кребсом записей паспортов не нашлось, а часть людей в аэропорту показывала другие документы. Зато общий знаменатель нашёлся быстро: в день снимка люди арендовали машину в Hertz, а у Кребса и его матери метки отличаются на несколько секунд, ровно как при сдаче двух удостоверений одному сотруднику проката. Метки, судя по данным о прокатах, выставлены по Гринвичу.

Исследователь приватности Зак Эдвардс, чьи права тоже продаются в Nexus, машину не арендовал, зато в тот день его удостоверение сканировали в диспансере сети Planet13 в Лас-Вегасе. В 2022 году IDScan.net объявляла об эксклюзивном соглашении с Planet13; на странице доверия компании среди клиентов названы Hertz, Target, FedEx, Motorola Solutions, Jack Henry и Caesars Entertainment. Собственная документация IDScan.net описывает сканирование в инфракрасном и ультрафиолетовом диапазоне, то есть ровно те три пары снимков, что лежат в каждой записи Nexus. Компания заявляет более 21 млн проверок в месяц в более чем 20 тысячах точек по миру.

IDScan.net ответила Кребсу, что расследует ситуацию, но официального заявления и ответов на конкретные вопросы не дала. В комментариях к статье один из читателей опубликовал текст уведомления, которое, по его словам, компания разослала клиентам утром 2 сентября: там говорится о «потенциальном инциденте», подключении внешних юристов и криминалистов и отсутствии выводов о масштабе. Независимого подтверждения этого письма нет.

Почему это касается не только США

В базе документы жителей США и Канады; о российских паспортах или российских компаниях в материале речи нет. Механизм утечки при этом универсален. Верификация по документам всё чаще становится обязательной: возрастные проверки в интернете, аренда, отели, финансовые сервисы. Каждая такая проверка обычно означает, что копия документа уехала к стороннему вендору, а вендор хранит её неопределённо долго вместе с миллионами других.

Эти системы отдают чувствительные данные всё большему числу сторонних поставщиков, а надзора, который гарантировал бы их безопасность, у нас и близко нет.

Зак Эдвардсисследователь безопасности, перевод редакции

Ларри Болдуин из компании Cybera, чьи права тоже нашлись в Nexus, указывает на второе следствие: водительские права в США служат доказательством личности при открытии кредитных линий, а по фотографии современные системы распознавания лиц найдут человека, даже если он сменил имя. Под ударом оказываются жертвы домашнего насилия и участники программы защиты свидетелей.

Что делать тем, кто строит такие системы

По нашей оценке, главный вывод для инженера здесь архитектурный. Если продукт принимает сканы документов, стоит ответить на четыре вопроса: где физически хранятся изображения, зачем они хранятся после завершения проверки, кто из подрядчиков получает копию и что произойдёт, если утечёт база подрядчика вместо вашей. В записях Nexus есть снимки с метками июня 2025 года, хотя для проверки права на аренду машины они нужны несколько секунд.

• Хранить результат проверки (пройдена, дата, тип документа), а не сам скан, если закон не требует иного.
• Для подрядчиков верификации прописывать срок хранения и удаление изображений после проверки и проверять это, а не верить странице доверия.
• Не перечислять поставщиков верификации публично без необходимости: список клиентов на сайте IDScan.net в этой истории стал картой для поиска пострадавших.
• Для пользователей из США и Канады, которые сдавали права в прокатах и точках с ID-сканерами: исходить из того, что скан утёк, и следить за кредитными отчётами.

Обновление в исходной статье в 20:56 по восточному времени США: вскоре после публикации сайт Nexus пропал из даркнета, страница входа заменена сообщением «This service is no longer available». Кребс предупреждает, что история быстро развивается, и обещает дополнять материал; ответа от Hertz на момент публикации не было.

Источник: KrebsOnSecurity: FBI Probes Service Selling 153M+ Drivers Licenses

Изображение на обложке: График: Tproger по данным KrebsOnSecurity