A Hertz és a GameStop által használt azonosító szkennelő szolgáltató jelenleg az FBI vizsgálata alatt áll
Egy forró krumpli: Egy sötét webszolgáltatás, amely állítása szerint több mint 153 millió amerikai és kanadai jogosítvány szkennelt példányát árulja, offline állapotba került, miután a Krebs on Security azonosította. Az eltűnés előtt az oldal olyan azonosító képeket kínált, amelyek úgy tűnt, tartalmaztak szabványos szkenneléseket, valamint a dokumentum-ellenőrző rendszerekben használt infravörös és ultraibolya verziókat. Ez a fejlesztés a vállalkozások által a fizikai azonosítók ellenőrzésére használt rendszerek potenciálisan messzemenő kompromisszumára utal.
A Nexus nevű szolgáltatás vezetői engedélyek, személyi igazolványok, úti okmányok, egészségügyi kártyák és egyéb hitelesítő adatok nyilvántartását kínálta. A Krebs on Security arról számolt be, hogy az FBI New Orleans-i helyszíni irodája vizsgálatot indított a louisianai személyazonosság-ellenőrző cég, az IDScan.net nyilvánvaló jogsértése miatt.
A Nexus azt mondta, hogy „egy jelentős személyazonosság-ellenőrző cégtől” gyűjtött adatokat, és több mint egy éve új rekordokat ad hozzá. Azt állította, hogy több mint 153 millió vezetői engedéllyel, több mint 10 millió személyi igazolvánnyal, több mint 3 millió utazási és nemzetközi személyazonosító okmánnyal, valamint legalább 579 000 egészségügyi kártyával rendelkezik.
Krebs úgy találta, hogy a kifejezések nélküli keresés körülbelül 11,5 millió oldalnyi rekordot eredményezett, és minden oldalon nagyjából 15 találat található. Úgy tűnt, hogy az engedélyek többsége az Egyesült Államokban élő embereké. A kanadai jogosítványokra korlátozódó keresés körülbelül 1,1 millió rekordot hozott, köztük csaknem 474 000-et Ontarióból.
A rekordok a szokásos elöl-hátul képeknél többet tartalmaztak. Krebs több fájlt talált egyetlen licenchez kötve, köztük látható fényben készült képeket, valamint infravörös és ultraibolya sugárzással rögzített változatokat. Ezeket a formátumokat általában a személyazonosító okmányok biztonsági jellemzőinek ellenőrzésére használják.
Krebs több rekordhoz csatolt időbélyeget hasonlította össze azoknak az embereknek az utazási és bérleti történetével, akiknek a licence megjelent a Nexuson. A dátumok számos esetben egybeestek azzal, amikor az érintett személyek átadták személyi igazolványukat autókölcsönző pultoknál, gyógyszertáraknál vagy más vállalkozásoknál.
Krebs a saját és az anyja jogosítványáról szkennelt képeket talált időbélyegzőkkel, mindössze másodpercnyi különbséggel. Mindketten bemutatták jogosítványukat a Hertz alkalmazottjának, miközben autót béreltek. Édesanyja azt mondta, hogy ez volt az egyetlen alkalom, amikor aznap megmutatta a jogosítványát.
Larry Baldwin kiberbiztonsági kutató is megtalálta az engedélyét a szolgáltatásban. Azt mondta, hogy az időbélyeg megegyezik a legutóbbi Hertz bérlés dátumával. Zach Edwards adatvédelmi kutató talált egy rekordot, amely egy közelmúltbeli Las Vegas-i, a DEFCON biztonsági konferenciáján tett utazásához köthető. Edwards azt mondta, hogy a repülőtéri biztonsági szolgálatnál, az Aria szállodában és egy Planet13 marihuána-ambulancián mutatta be jogosítványát. A gyógyszertár volt az egyetlen hely, ahol tudta, hogy egy készülékkel beszkennelték a kártyát.
Ezek a példák nem igazolják, honnan származnak az adatok. De arra késztették Krebst, hogy megvizsgálja az IDScan.net-et, egy New Orleans-i vállalatot, amely személyazonosító okmány-ellenőrzési technológiát biztosít a vállalkozások számára.
Az IDScan.net szerint rendszerei havonta több mint 21 millió ellenőrzést dolgoznak fel több mint 20 000 helyen világszerte. A cég szerint technológiája infravörös és ultraibolya fényben is rögzíti az azonosítókat. Weboldalán ügyfelei között szerepel a Hertz, a FedEx, a GameStop, a Motorola Solutions és a Jack Henry. 2022-ben bejelentette, hogy exkluzív megállapodást köt a Planet13-mal, és 19 államban több mint 1000 marihuána-ambulanciával működik együtt.
Az IDScan.net azt mondta Krebsnek, hogy nyomoz, de részleteket nem közölt.
Az incidens súlyosabb, mint egy tipikus jogsértés, amely neveket, címeket és engedélyszámokat érint. A jogosítványokat széles körben használják számlák nyitására, életkor ellenőrzésére, járművek bérlésére és személyazonosságának megerősítésére. Az infravörös és ultraibolya képek hozzáférést biztosíthatnak a bűnözők számára olyan adatokhoz, amelyeket általában a fizikai dokumentumok hitelesítésére használnak.
A Nexus a marihuána gyógyszertári kártyákat is felsorolta, és néhány rekordon „CDL” jelzés szerepelt, ami kereskedelmi jogosítványokra utalhat. Másokat „CAC” jelzéssel látták el, ami valószínűleg a kormányzati létesítményekbe és a biztonságos területekre való belépéshez használt közös belépőkártyákra utalt.
Baldwin azt mondta Krebsnek, hogy az adatok különösen veszélyesek lehetnek azok számára, akik megpróbálják titokban tartani tartózkodási helyüket vagy személyazonosságukat, beleértve a családon belüli erőszakot túlélőket és a tanúvédelmi programokban résztvevőket.
A szolgáltatás bejelentkezési oldala később egy egyszerű üzenetre változott: „Ez a szolgáltatás már nem elérhető.”
Az FBI nyomozása várhatóan megvizsgálja, hogyan szerezték be az iratokat, és hogy az adatokat lemásolták-e vagy megosztották-e a Nexus eltűnése előtt.
Frissítés: A Target felvette a kapcsolatot a TechSpottal annak tisztázása érdekében, hogy nem vett részt az állítólagos jogsértésben, és nem továbbítja a vendégek adatait az IDScannek. A kiskereskedő azt állítja, hogy csak a vállalat hardverének egy részét használja, és azóta eltávolították az IDScan webhelyéről, ahol a Target szerint a céggel való kapcsolatát pontatlanul tüntették fel.
A kép jóváírása: Krebs On Security