Furnizorul de scanare a ID-ului folosit de Hertz și GameStop este acum investigat de FBI
Un cartof fierbinte: Un serviciu dark-web care pretindea că vinde scanări a peste 153 de milioane de permise de conducere din SUA și Canada a fost offline după ce Krebs on Security l-a identificat. Înainte de a dispărea, site-ul a oferit imagini de identitate care păreau să includă scanări standard, precum și versiuni în infraroșu și ultraviolete utilizate în sistemele de verificare a documentelor. Această dezvoltare indică un compromis potențial de amploare a sistemelor pe care companiile le folosesc pentru a verifica ID-urile fizice.
Serviciul, numit Nexus, oferea înregistrări pentru permisele de conducere, cărțile de identitate, documentele de călătorie, cardurile medicale și alte acreditări. Krebs on Security a raportat că biroul FBI din New Orleans a deschis o anchetă cu privire la o încălcare aparentă care implică compania IDScan.net de verificare a identității din Louisiana.
Nexus a spus că a colectat date de la „o companie importantă de verificare a identității” și a adăugat noi înregistrări de mai bine de un an. A susținut că deține peste 153 de milioane de permise de conducere, peste 10 milioane de cărți de identitate, peste 3 milioane de documente de călătorie și de identitate internaționale și cel puțin 579.000 de cărți medicale.
Krebs a descoperit că o căutare fără termeni a returnat aproximativ 11,5 milioane de pagini de înregistrări, cu aproximativ 15 rezultate pe fiecare pagină. Majoritatea licențelor păreau să aparțină oamenilor din Statele Unite. O căutare limitată la permisele de conducere canadiene a produs aproximativ 1,1 milioane de înregistrări, inclusiv aproape 474.000 din Ontario.
Înregistrările au inclus mai mult decât imaginile obișnuite față și spate. Krebs a găsit mai multe fișiere legate de o singură licență, inclusiv imagini în lumină vizibilă și versiuni capturate în infraroșu și ultraviolet. Aceste formate sunt utilizate în mod obișnuit pentru a verifica caracteristicile de securitate pe documentele de identitate.
Krebs a comparat marcajele de timp atașate la mai multe înregistrări cu istoriile de călătorie și de închiriere ale persoanelor ale căror licențe au apărut pe Nexus. În mai multe cazuri, datele s-au aliniat cu momentul în care persoanele respective și-au predat actele de identitate la ghișeele de închiriere de mașini, dispensare sau alte afaceri.
Krebs a găsit scanări ale propriei licențe și ale mamei sale cu marcaje de timp la doar câteva secunde. Ambii își prezentaseră permisele unui angajat Hertz în timp ce închiriau o mașină. Mama lui a spus că a fost singura dată când și-a arătat permisul în acea zi.
Cercetătorul în domeniul securității cibernetice Larry Baldwin și-a găsit și licența în serviciu. El a spus că ștampila sa se potrivește cu data unei închirieri recente Hertz. Cercetătorul de confidențialitate Zach Edwards a găsit o înregistrare legată de o excursie recentă la Las Vegas pentru conferința de securitate DEFCON. Edwards a spus că și-a arătat licența la securitatea aeroportului, la hotelul Aria și la un dispensar de marijuana Planet13. Dispensarul era singurul loc unde știa că scanase cardul cu un dispozitiv.
Aceste exemple nu dovedesc de unde provin datele. Dar ei l-au determinat pe Krebs să examineze IDScan.net, o companie din New Orleans care oferă companiilor tehnologie de verificare a ID-ului.
IDScan.net spune că sistemele sale procesează peste 21 de milioane de verificări în fiecare lună în peste 20.000 de locații din întreaga lume. Compania spune că tehnologia sa captează ID-uri atât în lumină infraroșie, cât și în ultravioletă. Site-ul său web include Hertz, FedEx, GameStop, Motorola Solutions și Jack Henry printre clienții săi. De asemenea, a anunțat un acord exclusiv cu Planet13 în 2022 și spune că lucrează cu peste 1.000 de dispensare de marijuana în 19 state.
IDScan.net i-a spus lui Krebs că investighează, dar nu a oferit detalii.
Incidentul este mai grav decât o încălcare tipică care implică nume, adrese și numere de licență. Permisele de conducere sunt utilizate pe scară largă pentru a deschide conturi, a verifica vârsta, a închiria vehicule și a confirma identitatea. Imaginile în infraroșu și ultraviolete le pot oferi infractorilor acces la datele care sunt utilizate în mod normal pentru autentificarea unui document fizic.
Nexus a enumerat, de asemenea, carduri de dispensar de marijuana, iar unele înregistrări au fost marcate cu „CDL”, care se poate referi la permisele de conducere comerciale. Altele au fost marcate cu „CAC”, posibil referindu-se la cardurile de acces comun utilizate pentru a intra în facilitățile guvernamentale și în zonele securizate.
Baldwin a spus lui Krebs că datele ar putea fi deosebit de periculoase pentru persoanele care încearcă să-și păstreze locațiile sau identitățile private, inclusiv supraviețuitorii violenței domestice și persoanele din programele de protecție a martorilor.
Pagina de conectare a serviciului s-a schimbat ulterior într-un mesaj simplu: „Acest serviciu nu mai este disponibil”.
Se așteaptă ca investigația FBI să examineze modul în care au fost obținute înregistrările și dacă datele au fost copiate sau partajate înainte ca Nexus să dispară.
Actualizare: Target a contactat Noobz.ro pentru a clarifica că nu a fost implicat în presupusa încălcare și nu transmite date despre oaspeți către IDScan. Retailerul spune că folosește doar o parte din hardware-ul companiei și de atunci a fost eliminat de pe site-ul IDScan, unde Target spune că relația sa cu compania a fost reprezentată incorect.
Credit imagine: Krebs On Security
