Масштабний витік сканів посвідчень водія, що нібито був вкрадений з компанії з верифікації особистості, демонструє небезпеку накопичення наших найчутливіших документів у “медових бочках” для зловмисників.
Сервіс на темному вебсайті пропонує на продаж понад 153 мільйони сканів посвідчень водія США та Канади, а ФБР розслідує походження цих даних. Ймовірний витік є особливо яскравим прикладом проблеми сучасної економіки верифікації особистості, де для підтвердження вашої особи необхідно надавати третій стороні постійні копії чутливих документів.
За даними KrebsOnSecurity, сервіс під назвою Nexus був запущений на російськомовному кіберзлочинному форумі і стверджує, що має понад 153 мільйони посвідчень водія, а також понад 10 мільйонів інших ідентифікаційних карток, понад 3 мільйони проїзних документів та міжнародних посвідчень, і сотні тисяч медичних карток.
Незалежно перевірити цю цифру складно, але Krebs знайшов докази, що свідчать про те, що сервіс не просто блефує. У базі даних містилися посвідчення самого Krebs та міністра оборони США Піта Хегсета, серед інших посадовців. Посвідчення містили кілька зображень документів, зокрема скани лицевої та зворотної сторін, а в деяких випадках – версії в інфрачервоному та ультрафіолетовому діапазонах.
Дані також виглядали свіжими. Заявлена колекція Nexus збільшилася майже на 400 000 записів про посвідчення водія приблизно за 24 години, тоді як оператори стверджували, що вони безперервно викрадали інформацію понад рік.
Krebs відстежив ймовірне джерело до компанії IDScan.net, яка базується в Новому Орлеані та займається верифікацією особистості. Компанія стверджує, що її технологія обробляє понад 21 мільйон перевірок ідентичності щомісяця у понад 20 000 локацій по всьому світу.
Матеріали IDScan.net для клієнтів демонструють, наскільки глибоко така інфраструктура вбудована в повсякденну комерційну діяльність. На офіційному сайті компанії серед клієнтів або інтегрованих партнерів вказані такі компанії та бренди, як Holiday Inn, 7-Eleven, GameStop, DraftKings, Hertz, Target, FedEx, Shell та Caesars Entertainment.
Зв’язок особливо вражає, оскільки Krebs виявив, що мітки часу, пов’язані з декількома викраденими посвідченнями, збігалися з поїздками, проживанням у готелях, орендою автомобілів та іншими реальними взаємодіями, під час яких люди надавали свої посвідчення особи.
IDScan.net заявила, що розслідує інцидент, але публічно не підтвердила, що її системи стали джерелом бази даних Nexus. Компанія повідомила Krebs, що не може надати додаткової інформації під час триваючого розслідування. ФБР також розпочало розслідування через своє новоорлеанське відділення щодо ймовірного витоку даних.
Невдовзі після публікації звіту Krebs сайт Nexus зник із темної мережі і був замінений повідомленням про припинення роботи сервісу.
Пітер Ван Валкенбург, давній прихильник політики криптовалют та виконавчий директор Coin Center, стверджував у своїй статті, що цей витік даних не був дивним випадковим збоєм. Він назвав злам “неминучим” і заявив, що суспільство “давно, давно, давно перетнуло межу, коли потрібно зменшити обсяг KYC (Know Your Customer), який ми виконуємо”.
Аргумент Ван Валкенбурга стосується мінімізації даних. Кожного разу, коли компанія вимагає сканування державного посвідчення особи, вона створює ще один репозиторій, що містить інформацію, яка потенційно може бути викрадена, перепродана або використана зі зловмисними намірами.
“Ми надаємо повноваження безлічі жалюгідних квазі-державних підрядників для збору та моніторингу даних”, – написав Ван Валкенбург, стверджуючи, що отримані бази даних стають привабливими цілями саме тому, що вони містять так багато цінної інформації в одному місці.
Проблема стає ще складнішою для ігнорування, оскільки уряди та компанії впроваджують верифікацію особистості у все більшу кількість сфер повсякденного життя. Перевірка віку, фінансова відповідність, реєстрація в готелях, оренда автомобілів, азартні ігри, продаж канабісу та онлайн-сервіси – все це може вимагати певної форми сканування посвідчення особи.
Спеціаліст з безпеки та приватності Зак Едвардс, чиє власне посвідчення водія було знайдено в базі даних Nexus, розповів Krebs, що інцидент підкреслює ризики аутсорсингу верифікації особистості розширюваній мережі сторонніх постачальників. “Ці системи передають конфіденційні дані все більшій кількості сторонніх постачальників, а у нас недостатньо контролю, щоб гарантувати їхню безпеку”, – сказав Едвардс.
Дійсно, самі системи, які були створені, містять протиріччя. Хоча існують все більш складні процеси для визначення того, чи є людина тим, за кого себе видає, ці системи часто вимагають збору достатньої інформації, щоб створити катастрофічну ситуацію, якщо безпека пов’язаної бази даних зазнає збою.
І це далеко не перший випадок, коли масштаб проблеми стає абсурдним. У 2025 році компанія програмного забезпечення для освіти PowerSchool зазнала витоку даних, який викрив конфіденційну інформацію десятків мільйонів учнів та вчителів, включаючи номери соціального страхування, дати народження та медичну інформацію. У 2024 році AT&T також повідомила, що хакери отримали номери соціального страхування, дати народження, номери телефонів, адреси електронної пошти та іншу інформацію 73 мільйонів поточних та колишніх клієнтів. Окремий інцидент викрив телефонні записи майже всіх клієнтів компанії.
Технічні рішення
Існують технічні рішення цієї фундаментальної проблеми створення “медових бочок” з конфіденційними даними клієнтів. Наприклад, докази з нульовим розголошенням (zero-knowledge proofs) можуть дозволити комусь довести, що він відповідає певній умові, не розкриваючи всієї інформації, що міститься в базовому документі. Замість того, щоб надавати повне посвідчення водія для доказу того, що вам більше 21 року, система теоретично могла б перевірити відповідний факт, не отримуючи вашого імені, адреси, номера посвідчення та іншої інформації, надрукованої на картці.
Хоча ці технології не роблять верифікацію особистості магічно безпечною у всіх сценаріях, вони пропонують спосіб перебудувати систему так, щоб перевірка особистості не створювала інших, другорядних проблем.
Звісно, існує й менш зрушна реальність: деякий збір даних – це не просто рішення компаній про бажання отримати більше інформації. Закони та нормативні акти можуть вимагати від бізнесу збору, перевірки або зберігання ідентифікаційної інформації в певних обставинах. Іншими словами, необхідні зміни в нормативних актах щодо збору персональних даних, поряд із впровадженням різноманітних технічних інновацій.
Чи будуть ці технічні або регуляторні зміни впроваджені найближчим часом, ще належить побачити. “Консервативні відділи комплаєнсу та стійкі до змін регулятори віддають перевагу старим практикам та видимості суворого комплаєнсу (виконання формальних вимог), а не фактичному захисту людей шляхом мінімізації даних та перевірених, валідних альтернатив”, – писав Ван Валкенбург.