店で免許証スキャン→数時間で闇サイトへ　米国防長官含む1億5300万枚の流出、被害者たちが突き止めた意外な出所

　米国とカナダの運転免許証1億5300万枚あまりをスキャンした画像が闇サイトで売りに出されているのが見つかった。セキュリティ専門ジャーナリストのブライアン・クレブス氏が出所をたどった結果、レンタカー大手などと取引のある本人確認サービス会社から流出したとみられることが判明。米連邦捜査局（FBI）ニューオーリンズ支部も捜査に乗り出しているという。

【その他の画像】

　クレブス氏が運営する調査報道サイトの「Krebs on Security」によると、運転免許証情報を売り出す広告がロシア語のサイバー犯罪フォーラム「Exploit」に掲載され、闇サイトの「Nexus」で売りに出されていたことが分かった。犯人側はサンプルとして、クレブス氏の免許証を提示していたという。

　売り出されていた情報には、米国とカナダの運転免許証約1億5300万枚に加え、各種身分証明書や渡航関連書類、診察券なども含まれ、総数は計1億7000万件以上に上った。ピート・ヘグセス米国防長官やFBI副長官など、米政府高官の免許証も含まれていたとされる。

　Nexusはこうした運転免許証情報について、大企業と取引のある「大手本人確認会社」から「継続的に抜き取っている」と主張していた。実際、Nexusで売り出される運転免許証の数は、24時間で40万件近く増えていたという。

　被害に遭った1人で、米メディアArs Technica記者のダン・グーディン氏は「大手レンタカー会社から車を借りた際、店員が私の運転免許証をスキャンした数時間後に、その免許証スキャンが闇サイトで売りに出された」と伝えている。

●被害者の共通点

　免許証が流出した被害者は、クレブス氏本人を含めて大半が、スキャン画像に記載されたタイムスタンプに近い日付や時刻にレンタカー大手の米Hertzで車を借りていたことが分かった。

　一方、著名セキュリティ研究者のザック・エドワーズ氏は、Hertzは利用していなかったものの、ラスベガスで大手マリフアナ販売チェーン店「Planet13」を訪れた際に、店員が運転免許証をスキャンしていたという。「まさか闇サイトで自分の免許証情報が販売されているとは知らなかった」とエドワーズ氏は言う。

　HertzとPlanet13に共通していたのは、本人確認のための身分証スキャンに「idscan.net」というニューオーリンズの企業が手掛けるサービスを利用していたことだった。idscan.netは「なりすまし防止、年齢確認、セキュリティとコンプライアンスのためのアクセス管理に照準を絞った最先端のAI本人確認プラットフォーム」提供をうたう企業。Hertzの他にもTargetやFedEx、Motorola Solutionsなど多数の米大手企業にサービスを提供しており、世界2万カ所あまりで月間21万回を超す身分証確認に利用されているという。

　KrebsOnSecurityの取材に対し、idscan.netは今回の問題について調査していることを確認した上で、「現時点でそれ以上のことは言えない」とコメントしている。

　なお、免許証情報を売り出していたNexusは、KrebsOnSecurityの記事が掲載された後間もなく、ダークウェブから姿を消したという。