FBIが捜査していると報じられた大規模なデータ侵害で、車を借りてから数時間後、私の運転免許証がNexusという個人情報窃盗サービスで販売されていたことが明らかになった。KrebsOnSecurityによると、Nexusには153 million以上の運転免許証が登録されていた。掲載されたファイルには身分証の表面と裏面に加え、赤外線画像と紫外線画像も含まれており、これらの記録によって偽造身分証がホログラム検査を通過しやすくなる可能性があると指摘された。
Nexusはまた、商用運転免許証、CACと呼ばれる政府発行の身分証明カード、マリファナ販売店のカードも提供していると主張していた。新しい記録が、本人がレンタカー会社で身分証を提示してから通常は1日、早ければ数時間後に現れることは、データが企業の利用する第三者のスキャンサービスからほぼリアルタイムで流入していることを示している。24時間以内に掲載された運転免許証の数は約400,000件増加した。
公開情報によると、ニューオーリンズを拠点とするIDScan.netはPlanet13と独占契約を結んでおり、Hertzと11社も顧客として挙げている。同社は調査を開始したと発表した。NexusはKrebsOnSecurityの報道から数時間後にアクセス不能となり、そのため自分の身分証が掲載されているかどうかを確認することはできない。
なぜ重要なのか
この事案は、本人確認手続きで利用される第三者のスキャンサービスが、単に手続きを容易にするだけでなく、大量の機微なデータが集積されるインフラを形成していることを示している。表面と裏面に加えて赤外線画像や紫外線画像も含まれていることから、影響を受けた人々にとっては、個人情報が露出するだけでなく、身分証明書が偽造されるリスクも浮上している。データがレンタル手続きの直後に掲載されていたことは、調査がデータの流れのどの段階で事案が発生したのか、またサービス提供者のアクセス管理に焦点を当てる必要があることを示している。Nexusにアクセスできなくなったことで、人々は自分の記録を確認できなくなっている一方、実際にどの人々や組織が影響を受けたのかという疑問は未解決のまま残されている。