2026年9月1日、独立系サイバーセキュリティ記者ブライアン・クレブス氏（KrebsOnSecurity）によって、ダークウェブ上のサービス「Nexus」が米国とカナダの運転免許証1億5,300万件超のデジタルスキャン画像を販売していることを発見し、FBIニューオーリンズ支局が正式捜査を開始したという発表がありました。（KrebsOnSecurityの報告）
- ダークウェブサービス「Nexus」は運転免許証1.5億件超・身分証明書1,000万件・医療カード約58万件等を販売していたとされ、報告公開後まもなく閉鎖された。
- 流出元とみられるIDScan.netは調査中と述べるにとどまり、正式確認はしていない。ハーツ・ターゲット・フェデックス等が顧客とされている。
- 流出したとされるデータには免許証の表裏・赤外線・紫外線の最大6枚の画像が含まれ、パスワードと異なり顔写真や生体情報は変更できないため、被害の長期化が懸念されている。
クレブス氏は2026年8月31日、ロシア語圏サイバー犯罪フォーラム「Exploit」の新規ユーザーが「Nexus」と称するサービスを告知しているとの情報提供を受けた。Nexusは北米の1億7,000万人超の身元確認書類へのアクセスを販売すると主張しており、クレブス氏自身の運転免許証を無料サンプルとして提示していた。その後の調査でクレブス氏は友人・家族12名以上の協力のもと9件の記録を確認し、各記録に付されたタイムスタンプが本人がハーツのレンタカーカウンターで免許証を提示した日時と一致することを特定した。
クレブス氏の調査はIDScan.netを流出元として特定した。同社はルイジアナ州ニューオーリンズ拠点の身元確認サービス企業で、月間2,100万件超・世界2万か所以上で免許証の真贋確認を行っているとされている。同社のシステムは免許証を通常光・赤外線・紫外線の3種で撮影する機能を持ち、Nexusに流出した記録の画像構成と一致するとしている。
ハーツやターゲット・フェデックス・マリファナ販売店チェーンのPlanet13などが顧客であるとされているが、カエサーズ・エンターテインメントは同社とは2025年2月以降は契約しておらず事案の影響を受けないと述べたとしている。
FBIはTIME誌の取材に対し「事案を調査している」と認めたが、捜査中を理由にコメントを控えるとした。クレブス氏によればFBIニューオーリンズ支局は2026年9月1日に正式な捜査を開始しており、FBIのアシスタント・ダイレクターをはじめ政府高官の運転免許証もNexusで販売されていたという。Nexusは報告公開後まもなく「このサービスはもう利用できません」という一行のメッセージを残して閉鎖されたが、入手済みのデータが別のサービスで再利用されるリスクは残るとされている。
セキュリティ専門家は今回の事案を身元確認システムの構造的なリスクの表れと指摘している。ロンドン・スクール・オブ・エコノミクスのエドガー・ホワイトリー教授は「政府発行IDの高品質な画像はパスワードや識別番号の流出よりも深刻な被害をもたらす。生体情報は変更できないからだ」と述べたとしている。
プライバシー研究者のザック・エドワーズ氏は「IDの提示を求めるオンライン・対面サービスが増えるほど、センシティブなデータが三者に渡るリスクが高まる」と警鐘を鳴らした。被害を懸念する場合は、エクイファックス・エクスペリアン・トランスユニオンの3大信用情報機関でのクレジットフリーズが推奨されているとしている。
コメントを残す