Shkelja Ekspozon 153 Milionë Leje Drejtimi në Dark Web

Një shërbim i vjedhjes së identitetit në dark web i quajtur Nexus po ofron mbi 153 milionë skanime të lejeve të drejtimit nga njerëz në Shtetet e Bashkuara dhe Kanada, dhe FBI ka hapur një hetim për burimin e dukshëm te një ofrues i verifikimit të identitetit me qendër në Luiziana i quajtur idscan.net. Shërbimi u lançua më 31 gusht në forumin rus të krimit kibernetik Exploit, i cili është pjesë e dark web, një pjesë e internetit që nuk indeksohet nga motorët normalë të kërkimit dhe arrihet vetëm me softuer special. Një burim njoftoi KrebsOnSecurity pasi operatori i shërbimit postoi lejen e drejtimit të Virxhinias të botimit si mostër falas.

Nexus pretendon se mban 153 milionë leje drejtimi, mbi 10 milionë karta identifikimi, mbi tre milionë dokumente udhëtimi ose ID ndërkombëtare, dhe të paktën 579,000 karta mjekësore. Një kërkim bosh në shërbim kthen afërsisht 11.5 milionë faqe rezultatesh, me rreth 15 regjistrime për faqe. Shumica e regjistrimeve janë nga Shtetet e Bashkuara, por rreth 1.1 milionë janë kanadeze, me përqendrimin më të madh në Ontario me 473,673 regjistrime. Regjistrimet përfshijnë gjithashtu karta të dyqaneve të marijuanës, dhe disa mbajnë shënime burimi si 'CDL' (me gjasë leje drejtimi komerciale) dhe 'CAC' (ndoshta karta të aksesit të përbashkët të përdorura për akses fizik në ndërtesat qeveritare). Operatorët e Nexus pretendojnë se të dhënat vijnë nga një shkelje aktive në një kompani të madhe të verifikimit të identitetit, klientët e së cilës përfshijnë shumë kompani të Fortune 500, dhe ata thonë se kanë nxjerrë vazhdimisht të dhëna, duke i kopjuar ato pa autorizim, për më shumë se një vit. Numri i regjistrimeve të lejeve të drejtimit të listuara në Nexus u rrit me gati 400,000 në 24 orë, duke treguar se të dhëna të freskëta po mblidhen ende.

Vetë reporteri i KrebsOnSecurity zbuloi se regjistrimi i lejes së tij të Virxhinias përfshinte gjashtë skedarë imazhesh: skanime të përparme dhe të pasme, një imazh bazë, dhe versione infra të kuqe dhe ultravjollcë, të cilat janë imazhe të marra nën dritë jo të dukshme për të treguar veçori sigurie si holograme dhe mikroprintim. Koha e regjistruar në skanimin e lejes përputhej me një fluturim të qershorit 2025, por reporteri nuk e përdori lejen në sigurinë e aeroportit sepse tregoi pasaportën amerikane. Leja iu dorëzua një përfaqësuesi të marrjes me qira të makinave Hertz në të njëjtën kohë me nënën e reporterit, dhe kohët në dy regjistrimet e tyre janë vetëm disa sekonda larg njëra-tjetrës. KrebsOnSecurity pyeti më shumë se një duzinë miq dhe anëtarë të familjes për leje për të kërkuar lejet e tyre në shërbim, dhe secili nga nëntë personat e gjetur konfirmoi se kishte udhëtuar në ose shumë afër datave në kohët e imazheve të tyre. Një person nuk kishte fluturuar kohët e fundit, por kishte marrë me qira një makinë nga Hertz për disa muaj rreth datës së kohës. Kohët duket se janë vendosur në Kohën Mesatare të Grinuiçit bazuar në regjistrimet e marrjes me qira të makinave të ndara nga disa pjesëmarrës.

Studiuesi i sigurisë dhe privatësisë Zach Edwards, i cili operon shërbimin DecryptAds, gjeti lejen e tij në Nexus me një kohë që përputhej me mesin e një udhëtimi në Las Vegas për konferencën e sigurisë DEFCON. Edwards tha se i dha lejen e tij një pike kontrolli TSA, një dyqani marijuane të quajtur Planet13, dhe hotelit të tij, por i vetmi vend që patjetër skanoi ID-në në një pajisje ishte dyqani. Planet13, një zinxhir dyqanesh marijuane me shumë shtete, ka një marrëveshje ekskluzive të verifikimit të identitetit me idscan.net, një ofrues me qendër në New Orleans që thotë se përpunon verifikimin e ID-ve për më shumë se 1,000 dyqane në 19 shtete të SHBA-së. Faqja e besimit të idscan.net liston klientë duke përfshirë Hertz, Target, FedEx, Motorola Solutions, Jack Henry, dhe Caesars Entertainment, dhe dokumentacioni i tij thotë se teknologjia e tij skanon ID-të me dritë infra të kuqe dhe ultravjollcë. Kompania thotë se kryen më shumë se 21 milionë verifikime në muaj në mbi 20,000 vende në mbarë botën.

Kur u kontaktua nga KrebsOnSecurity, idscan.net tha se po hetonte, por nuk dha një përgjigje thelbësore. Jillian Kossman, një udhëheqëse marketingu dhe operacionesh në idscan.net, shkroi se kompania nuk mund të ndante më shumë informacion, por mirëpriti përditësimet për të ndihmuar hetimin e ekipit të saj. Zyra e FBI-së në New Orleans hapi një hetim zyrtar për një shkelje të dukshme që përfshin idscan.net, dhe agjentët e FBI-së nga divizioni kibernetik mbajtën një telefonatë konference me KrebsOnSecurity. Reporteri kishte mësuar se Nexus po shiste gjithashtu informacionin e lejes së drejtimit të një ndihmës drejtori të FBI-së, megjithëse leja e Drejtorit të FBI-së nuk u gjet në shërbim.

Larry Baldwin, studiues kryesor i inteligjencës në firmën e sigurisë kibernetike Cybera, zbuloi se një skanim i përparmë dhe i pasmë i lejes së tij të drejtimit në Nexus kishte kohë që përputheshin me një marrje me qira makine nga Hertz gjatë një pushimi të fundit. Baldwin tha se shërbimi paraqet kërcënime serioze për sigurinë dhe privatësinë, sepse lejet e drejtimit të lëshuara nga shteti përdoren zakonisht si provë identiteti kur hapen linja të reja krediti. Ai gjithashtu vuri në dukje se njerëzit që nuk mund ta ndryshojnë në mënyrë kuptimplote pamjen e tyre, si ata që ikin nga dhuna në familje ose individët në programin federal të mbrojtjes së dëshmitarëve, mund të ekspozohen rrezikshëm nga mjetet e krahasimit të imazheve të bazuara në AI. Baldwin tha se ashtu siç po përmirësoheshin kontrollet e vërtetimit përmes sistemeve të verifikimit të lejeve të drejtimit, ky incident komprometon pikërisht atë nga e cila varen ato përmirësime.

Më 8 shtator, idscan.net publikoi një njoftim të shkurtër duke thënë se kishte përcaktuar se një palë e tretë e paautorizuar mund të ketë hyrë ose kopjuar disa informacione të klientëve, duke përfshirë emra të plotë dhe numra të lejeve të drejtimit ose dokumenteve të tjera identifikimi të lëshuara nga qeveria. Kompania tha se po njoftonte individët e prekur dhe po ofronte shërbime të mbrojtjes së kreditit. Më vete, një zëdhënës i Caesars Entertainment tha se Caesars nuk ka qenë klient i idscan.net dhe nuk e ka përdorur produktin e tij VeriScan që nga shkurti 2025, nuk e ka autorizuar idscan.net të mbajë të dhëna nga llogaritë e tij, dhe u tha nga idscan.net se incidenti nuk duhet të ketë ndikim në Caesars. Menjëherë pasi u botua historia, faqja e shërbimit Nexus u zhduk nga dark web dhe zëvendësoi faqen e saj të hyrjes me një mesazh që thoshte 'Ky shërbim nuk është më i disponueshëm.'

Ky incident është një kujtesë se çdo shërbim që skanon dhe ruan lejet e drejtimit bëhet një objektiv me vlerë të lartë. Për pronarët e faqeve të internetit dhe bizneset që përdorin shërbime të verifikimit të identitetit, zbatimi i parimeve të sigurisë së parë në marrëdhëniet me shitësit është kritik, dhe AEU-I, praktika e sigurisë së parë IT dhe konsulencës e AEU Group, punon me organizata për vendime të sigurisë së parë IT dhe infrastrukture.