レンタカー手続きからわずか数時間で免許証がダークウェブに#
Ars Technicaのシニアセキュリティエディター、Dan Goodin氏がレンタカーを借りた際に運転免許証をスキャンされ、その数時間後にはダークウェブ上でその高解像度スキャン画像が販売されていたことが明らかになりました。KrebsOnSecurityが公開した調査報道によると、被害を受けた免許証の総数は1億5300万件以上に上ります。
「Nexus」と呼ばれるID窃取サービスの実態#
この流出データを販売していたのは「Nexus」という名称の新たなID窃取サービスです。販売されていた免許証データには、IDの表裏両面の画像ファイルに加え、赤外線（IR）および紫外線（UV）スペクトルで撮影された画像も含まれていたとされています。これらの追加フォーマットは、偽造IDがホログラム検査を通過するために悪用される可能性があるとKrebsOnSecurityは指摘しています。
被害者の中には、ジャーナリストのBrian Krebs氏本人やその母親、FBI副長官、複数のセキュリティ研究者なども含まれていました。
販売されていたIDの種類#
Nexusは運転免許証以外にも、以下のような多様なIDデータを販売していたと報告されています。
- 身分証明書（IDカード）
- トラベルカード
- 国際運転免許証・ID
- 医療カード
- Common Access Card（政府庁舎や機密室へのアクセスに使用される政府発行のIDカード）
- 居住者カード
- 就労許可証
- 大麻ディスペンサリーカード
流出の規模と速度が示す「リアルタイム」侵害#
特に深刻なのは、データが流出するスピードです。Krebs氏の報告によれば、24時間の間に利用可能な運転免許証の件数が約40万件増加しており、侵害が現在進行形で続いていることを示しています。
Goodin氏を含む複数の被害者の証言から、免許証をスキャンされてから数時間以内にデータがNexus上に現れるパターンが確認されており、第三者のスキャンサービスを経由するデータフローにNexusがほぼリアルタイムでアクセスできる状態にあると見られています（KrebsOnSecurityの分析による）。
焦点となるIDScan.netとは#
Krebs氏が公開情報をもとに調査した結果、ニューオーリンズを拠点とするIDスキャンサービス企業「IDScan.net」が浮上しました。同社はマルチステート展開する大麻ディスペンサリーチェーン「Planet13」との独占契約を発表しており、また「Hertz」を含む12社以上が同社のサービスを利用していると明記していました。さらに同社のサービスが赤外線・紫外線スペクトルでのスキャンを行っていることも公式に述べられています。
IDScan.netのスポークスパーソンはKrebs氏に対して調査中であると回答しましたが、詳細については明らかにしていません。
ポイント・注目点：なぜこの漏洩は特に危険なのか#
個人情報の流出自体は残念ながら珍しいことではありません。しかし今回の件が特に問題視されるのは以下の点です。
- 赤外線・紫外線スキャンの流出：通常の写真では見えないホログラムや隠し印刷を可視化したデータが含まれており、精巧な偽造IDの作成に悪用される恐れがあります。
- サプライチェーン型の侵害：個々の企業ではなく、複数のビジネスが共通して利用する第三者スキャンサービスが侵害されている可能性があり、被害範囲の特定と防止が困難です。
- 現在進行中：1日あたり約40万件という増加ペースが示すように、流出は一度きりのものではなく継続しています。
FBIが捜査を開始していることは確認されています。なおNexusのサービスは、KrebsOnSecurityのスクープが公開されてから数時間以内にオフラインになりましたが、それにより一般ユーザーが自分のIDが含まれているかどうかを確認する手段も失われました。
まとめ#
今回の事案は、私たちが日常的に行うレンタカーの手続きや店舗でのID提示といった何気ない行動が、個人のIDデータを大規模な侵害リスクにさらしていることを改めて浮き彫りにしました。1億5300万件超という膨大な規模、赤外線・紫外線スキャンを含むデータの質、そしてリアルタイムに近い流出速度はいずれも前例のない水準です。
筆者の見解: 企業が採用する第三者のIDスキャンサービスのセキュリティ基準について、消費者側が知る術はほとんどありません。今後は、IDスキャンを求められた際にどのサービスが使われているか確認する習慣が必要になる時代が来るかもしれません。技術的な詳細については、引き続きFBIの捜査結果を注視する必要があります。
出典: I rented a car, and within hours, my driver’s license was for sale
