Shërbim në dark web shet 153 milionë skanime patentash drejtimi

Një shërbim në dark web që e quan veten Nexus po shet skanime patentash drejtimi të më shumë se 153 milionë njerëzve në Shtetet e Bashkuara dhe Kanada, dhe imazhet duket se janë nxjerrë nga sistemet e një kompanie të përdorur gjerësisht për verifikimin e identitetit me bazë në Louisiana. Zyra në terren e New Orleans e Byrosë Federale të Hetimit (FBI) hapi një hetim zyrtar për këtë çështje më 1 shtator 2026, sipas raportimit të KrebsOnSecurity, e cila gjurmoi të dhënat dhe identifikoi shitësin në qendër të rastit si IDscan.net. Dark web është pjesa e internetit që mund të arrihet vetëm me softuer të veçantë dhe që nuk listohet nga motorët e zakonshëm të kërkimit.

Historia doli në dritë kur një burim njoftoi KrebsOnSecurity të hënën, më 31 gusht, për një shërbim të reklamuar nga një përdorues i ri në Exploit, një forum kibernetik kriminal në gjuhën ruse. Reklama ofronte akses në skanime dixhitale të dokumenteve të identitetit që u përkasin më shumë se 170 milionë njerëzve në Amerikën e Veriut, dhe shitësi përfshiu patentën e drejtimit të vetë gazetarit nga Virginia si një mostër falas në temën e parë të shitjes.

Nexus pretendon se mban më shumë se 153 milionë patenta drejtimi nga Shtetet e Bashkuara dhe Kanada, së bashku me më shumë se 10 milionë karta identiteti, më shumë se 3 milionë dokumente udhëtimi ose ID ndërkombëtare, dhe të paktën 579,000 karta mjekësore. Një kërkim bosh në shërbim, pa terma kërkimi të futur, kthen afërsisht 11.5 milionë faqe rezultatesh me rreth 15 rezultate për faqe. Filtrimi vetëm për patentat kanadeze kthen afërsisht 1.1 milionë rezultate, me përqendrimin më të madh të vetëm në Ontario me 473,673 të dhëna.

Grupi i të dhënave nuk kufizohet vetëm në dokumentet e drejtimit. Të dhënat përfshijnë gjithashtu karta dispanseri marihuane, dhe disa zëra mbajnë një etiketë burimi "CDL", me gjasë shkurtim për patentë drejtimi komerciale, një patentë që lejon mbajtësin e saj të drejtojë automjete më të mëdha si kamionë dhe autobusë për punë. Të dhëna të tjera janë etiketuar "CAC", që mund t'i referohen Kartave të Përbashkëta të Aksesit, karta identiteti të lëshuara nga qeveria që japin akses fizik në ndërtesat qeveritare dhe dhomat e sigurta. Midis të dhënave është patenta e drejtimit e Sekretarit të Mbrojtjes të SHBA-së, Pete Hegseth, një nga disa zyrtarë të lartë qeveritarë, patentat e të cilëve mund të gjenden në shërbim.

Njerëzit pas Nexus pretendojnë se imazhet e patentave vijnë nga një shkelje aktive në "një kompani të madhe për verifikimin e identitetit", klientët e së cilës përfshijnë disa kompani të Fortune 500, dhe thanë se operacioni ka tërhequr të dhëna të reja në një bazë të dhënash private për më shumë se një vit. Shërbimi tha se të dhënat mund të shihen paraprakisht para blerjes me detaje të ndjeshme të fshehura, dhe se fotot e klientëve shfaqen kur janë të disponueshme. Gjatë një periudhe të vetme 24-orëshe gjatë raportimit, numri i të dhënave të patentave të drejtimit të listuara si të disponueshme u rrit me pothuajse 400,000, gjë që sugjeron se të dhëna patentash të vjedhura së fundmi po mblidhen dhe ngarkohen në mënyrë gjysmë të rregullt.

Për të kuptuar se nga kanë ardhur imazhet, KrebsOnSecurity shqyrtoi vetë skedarët. Të dhëna që përmbante patentën e gazetarit mbante gjashtë imazhe: tre palë fotografi të pjesës së përparme dhe të pasme të kartës, një skanim bazë imazhi, plus versione infra të kuqe dhe ultravjollcë të të njëjtave imazhe, të cilat janë lloje drite përtej asaj që syri i njeriut mund të shohë dhe përdoren për të kontrolluar nëse një dokument identiteti është i vërtetë. Një datë dhe vulë kohore, që do të thotë një regjistrim i ditës dhe orës së saktë, ishte bashkangjitur çdo skedari, dhe vula në atë patentë përputhej me një datë në qershor 2025 kur gazetari fluturoi në Midwest të Shteteve të Bashkuara për një varrim familjar.

Më shumë se një duzinë miqsh dhe anëtarësh të familjes u pyetën për leje për të kërkuar patentat e tyre. Secili nga nëntë personat, dokumentet e të cilëve u gjetën, konfirmoi se kishte udhëtuar në ose shumë afër datave në vulat kohore të bashkangjitura imazheve të tyre. Zona kohore e vulave kohore është e paqartë, por të dhënat e qirasë së makinave të ndara nga disa nga njerëzit që ndihmuan sugjerojnë se vulat janë vendosur në Greenwich Mean Time (GMT), standardi kohor i përdorur në Britani.

Aeroportet ishin një teori e hershme, por ajo u shemb sepse nuk ka pasaporta në grupin e të dhënave, dhe vetëm disa nga ata që ndihmuan thanë se treguan një patentë drejtimi në një aeroport në datën e udhëtimit të tyre. Një person, patenta e të cilit u shfaq, nuk kishte fluturuar së fundmi fare, por kishte marrë me qira një makinë nga Hertz për disa muaj rreth datës në vulën e tij kohore. Dy nga ndihmësit janë punonjës federalë që thanë se paraqitën identifikim tjetër qeveritar në sigurinë e aeroportit, por të dy thanë se dorëzuan patentat e tyre të drejtimit të lëshuara nga shteti më vonë atë ditë kur morën automjetet me qira në destinacionet e tyre, të dyja nga Hertz.

Rasti i vetë gazetarit tregon të njëjtën gjë. Një shënim kalendari për fluturimin e qershorit 2025 i kujtoi atij të merrte pasaportën, dhe ai kujtoi se nuk e tregoi patentën e tij të drejtimit në Aeroportin Kombëtar Reagan atë ditë sepse ai nuk kishte ende një Real ID, një patentë drejtimi me siguri të shtuar që Administrata e Sigurisë së Transportit (TSA) tani kërkon për të gjitha udhëtimet e brendshme; ai tregoi pasaportën e tij amerikane në vend të kësaj. Patenta e nënës së tij ishte gjithashtu në shërbim, me vula kohore vetëm disa sekonda larg nga të tijat, dhe të dy ata kishin dorëzuar patentat e tyre te i njëjti përfaqësues i qirasë Hertz në të njëjtën kohë. Sipas nënës së tij, banaku i qirasë ishte i vetmi vend ku ajo dha patentën e saj atë ditë. KrebsOnSecurity kërkoi koment nga Hertz dhe tha se historia do të përditësohej nëse kompania përgjigjej.

Studiuesi i sigurisë dhe privatësisë Zach Edwards, i cili kohët e fundit lançoi një shërbim të quajtur DecryptAds që ndihmon njerëzit të kuptojnë se si reklamuesit online i gjurmojnë ata, gjithashtu gjeti patentën e tij në shitje. Ai tha se vula kohore në të dhënat e tij përputhet me mesin e një udhëtimi në Las Vegas muajin e kaluar për konferencën vjetore të sigurisë DEFCON. Edwards nuk mori me qira një makinë në Las Vegas, por ai dorëzoi patentën e tij në pikën e kontrollit të TSA, në një dispanseri marihuane dhe në hotelin e tij, Aria. Nga këto tre, ai tha, i vetmi vend që patjetër skanoi ID-në e tij në një pajisje ishte dispanseria, Planet13, një zinxhir shumë-shtetëror me dyqane në Kaliforni, Florida, Illinois dhe Nevada. Në 2022, IDscan.net publikoi një njoftim për shtyp duke njoftuar një marrëveshje ekskluzive për verifikimin e identitetit me dispanseritë e Planet13 në nivel kombëtar, dhe kompania thotë se përpunon verifikimin e ID-ve për më shumë se 1,000 dispanseri marihuane në 19 shtete të SHBA-së.

Faqja "trust" e idscan.net thotë se kompania ofron shërbime verifikimi identiteti për një listë markash të mëdha që përfshin Hertz, Target, FedEx, Motorola Solutions, gjigantin e shërbimeve financiare Jack Henry dhe Caesars Entertainment. Dokumentacioni i vetë kompanisë thotë se teknologjia e saj skanon ID-të me dritë infra të kuqe dhe ultravjollcë, dhe se sistemet e saj kryejnë më shumë se 21 milionë verifikime në muaj në më shumë se 20,000 lokacione në mbarë botën. E kontaktuar nga KrebsOnSecurity, IDscan.net tha se po hetonte, por nuk kishte lëshuar ende një deklaratë zyrtare ose dhënë një përgjigje thelbësore ndaj pyetjeve specifike. Jillian Kossman, një drejtuese e marketingut dhe operacioneve në kompani, tha se nuk mund të ndante informacione shtesë në atë pikë dhe i përshkroi përditësimet e dhëna si të mirëpritura dhe të dobishme për hetimin e ekipit.

FBI mësoi për raportimin gjatë hulumtimit. Shërbimi po ofronte gjithashtu informacionin e patentës së drejtimit të një drejtori asistent të FBI-së, një detaj që gazetari ndau me një burim të besuar; patenta e drejtimit e Drejtorit të FBI-së, Kash Patel, nuk u gjet. Gazetari u shtua më vonë në një telefonatë konference me rreth gjysmë duzine agjentë të FBI-së, përfshirë drejtues të lartë nga divizioni kibernetik i agjencisë, gjatë së cilës FBI tha se zyra e saj në terren në New Orleans kishte hapur atë ditë një hetim zyrtar për një shkelje të dukshme që përfshin IDscan.net.

Larry Baldwin, studiuesi kryesor i inteligjencës në firmën e sigurisë kibernetike Cybera, tha se një skanim i pjesës së përparme dhe të pasme të patentës së tij në Nexus mbante vula kohore që përputheshin me datën e një qiraje makine nga Hertz gjatë një pushimi të fundit. Baldwin tha se shërbimi paraqet disa kërcënime serioze për sigurinë dhe privatësinë, duke vënë në dukje se patentat e drejtimit të lëshuara nga shteti përdoren zakonisht si provë identiteti kur dikush hap një linjë të re kredie, gjë që i bën imazhet të vlefshme për mashtruesit. Ai shtoi se të dhënat mund të ekspozojnë njerëz që nuk dëshirojnë të gjenden dhe që nuk mund të ndryshojnë kuptimisht pamjen e tyre mjaftueshëm për të mashtruar mjetet e sotme të përputhjes së imazheve të bazuara në inteligjencën artificiale, një grup që përfshin njerëz që ikin nga dhuna në familje dhe njerëz që u është dhënë një jetë dhe identitet krejt i ri nën programin federal të mbrojtjes së dëshmitarëve, i cili zakonisht rezervohet për të pandehur penalë në hetime për racketeering dhe konspiracion që pranojnë të bashkëpunojnë me autoritetet federale. Baldwin tha se ashtu siç po bëhet përparim në kontrollet e autentikimit përmes sistemeve të verifikimit të patentave të drejtimit, pikërisht ajo nga e cila varen këto përmirësime është komprometuar.

Edwards argumentoi se ndërsa gjithnjë e më shumë përvoja personale dhe online kërkojnë që njerëzit të dorëzojnë një patentë drejtimi, shitësit që mbledhin këto të dhëna të ndjeshme duhet të mbahen në një standard më të lartë. Ai tha se episodi duhet të forcojë vendosmërinë e njerëzve që luftojnë skemat e ID-ve online që shtyjnë panumërta ofrues të kërkojnë patenta drejtimi për të aksesuar shërbime në emër të mbrojtjes së fëmijëve, dhe se këto sisteme vendosin të dhëna të ndjeshme me gjithnjë e më shumë shitës të palëve të treta pa mbikëqyrje mjaftueshëm të fortë për t'i mbajtur ato të sigurta.

Reagimi nga një klient i listuar erdhi shpejt. Një zëdhënës i Caesars Entertainment tha se kompania nuk ka qenë klient i IDscan.net dhe nuk ka përdorur VeriScan që nga shkurti 2025, pavarësisht se IDscan.net e liston atë si klient në faqen e saj të internetit, duke shtuar se Caesars nuk kishte llogari aktive VeriScan në kohën e incidentit, nuk autorizoi IDscan.net të mbante të dhëna nga llogaritë e saj, dhe iu tha se incidenti nuk duhet të ketë ndikim në Caesars. Më 8 shtator, IDscan.net publikoi një njoftim të shkurtër duke thënë se kishte përcaktuar se një palë e tretë e paautorizuar mund të ketë pasur akses ose kopjuar disa informacione të klientëve, duke përfshirë emrat e plotë dhe patentat e drejtimit ose numra të tjerë identifikimi të lëshuar nga qeveria. Kompania tha se po njofton individët e prekur dhe po ofron shërbime mbrojtjeje kredie. Pak pasi raportimi u publikua, faqja Nexus u zhduk nga dark web, duke zëvendësuar faqen e saj të hyrjes me një mesazh teksti të thjeshtë që lexonte "Ky shërbim nuk është më i disponueshëm."

Për pronarët e faqeve të internetit dhe ekipet e IT-së, rasti është një kujtesë se dokumentet e identitetit janë ndër llojet më të rrezikshme të të dhënave për t'u mbajtur, sepse ndryshe nga një fjalëkalim, ato nuk mund të zëvendësohen thjesht. Çdo organizatë që fotografon patentën e një klienti në një banak, ose u kërkon vizitorëve të faqes të ngarkojnë një të tillë, trashëgon të njëjtin profil rreziku si shitësi i verifikimit në këtë histori: kopja duhet të ruhet, transmetohet dhe përfundimisht të fshihet, dhe secili prej këtyre hapave është një vend ku mund të rrjedhë. Mbledhja sa më pak e mundshme dhe njohja e saktë se ku ndodhen kopjet ekzistuese janë masat praktike të disponueshme ndërsa hetimi i FBI-së vazhdon. Lexuesit që duan të zvogëlojnë sasinë e informacionit të ndjeshëm që trajtojnë sistemet e tyre mund të shikojnë AEU-I, shërbimin tonë të sigurisë së parë për IT, infrastrukturë dhe konsulencë.