IDScan

本人確認サービス企業IDScanは、同社が1億5300万件以上の運転免許証スキャン画像を含む大規模なデータベースに関与しているとの報道が出てから数日後、ハッカーが同社のクラウドプラットフォームに保存されていた顧客データに不正アクセスしたことを確認した。

IDScanは9月4日付のセキュリティ通知でこの事案を公表し、9月1日頃、特定のデータが不正にアクセスされた可能性があることを把握したと述べた。

「この事実が判明した直後、当社はシステムの安全確保に向けた措置を直ちに講じるとともに、本事案の全容と範囲を特定するため、外部の専門家チームに協力を依頼しました」とIDScanは述べた。

同社によると、調査は現在も継続中だが、IDScan.netクラウド上のアカウントに保存されていた顧客情報に、権限のない第三者がアクセスしたりコピーしたりした「可能性がある」と判明している。

漏洩した情報には、顧客の氏名、運転免許証番号、またはその他の政府発行の身分証明書番号が含まれる可能性がある。通知には言及されていないが、この侵害により、攻撃者が運転免許証のスキャン画像を盗み出したとも報じられている。

TechCrunchは、9月4日に公開されたものの、検索エンジンに対してそのページをインデックスに登録しないよう指示する「noindex」ディレクティブが設定されていたIDScanの情報漏洩通知を発見した。

TechCrunchは9月4日、ハッカーがIDScanのシステムに侵入し、1億5300万件以上の運転免許証を含むデータベースへのアクセスを提供したとされる事件を受け、同社に対して複数の訴訟が提起されたと報じていた。

当時、IDScanは本件について公に認めておらず、当メディアのコメント要請にも応じていなかった。

同社は、流出した情報への完全なアクセスには料金が必要であるものの、「万全を期すため」影響を受ける可能性のある個人に通知を行い、無料の信用情報モニタリングおよび身元保護サービスを提供していると述べた。

IDScanに関連する大規模なIDデータベース

この事件が初めて明るみに出たのは、9月1日にブライアン・クレブス氏が、「Nexus」と呼ばれるダークウェブのプラットフォームが、1億5300万件以上の米国およびカナダの運転免許証のスキャンデータへのアクセスを宣伝していると報じたことがきっかけだった。

また、このサービスには1,000万件の身分証明書、300万件の旅行書類、57万9,000件の医療カードも含まれていたとされる。

クレブス氏は、自身や検索に同意した他の人物の記録を検索してデータベースのサンプルを検証し、流出した情報の源をIDScanまで遡った。

IDScanは、企業が政府発行の身分証明書をスキャン、認証、および情報抽出するために使用する本人確認技術を提供している。同社のプラットフォームは、レンタカー会社、小売業者、金融機関、大麻販売店、銃器店、およびホスピタリティ業界の企業などで利用されている。

Nexusサービスのニュースが広まった後、プラットフォームはオフラインにされたが、サイバー犯罪者たちは依然としてデータベースへのアクセス権を持っている可能性が高い。

それ以来、複数の脅威アクターがデータベース全体を販売していると主張しているが、これらの販売が正当なものかどうかは確認できていない。

IDScanは連邦法執行機関と協力していると述べ、FBIは以前、本メディアに対し、この事件を調査中であることを確認していた。

「この事件を受けて、当社は直ちに調査を開始し、データセキュリティに関する方針や手順を見直しました」とIDScanは述べた。

「また、連邦法執行機関の捜査にも協力しています。」

当メディアは本件に関する質問をIDScanに数回問い合わせたが、回答は得られていない。