Сообщается, что FBI расследует крупную утечку данных: всего через несколько часов после аренды автомобиля мои водительские права обнаружились выставленными на продажу в сервисе кражи личных данных под названием Nexus. По данным KrebsOnSecurity, в Nexus находилось более 153 миллионов водительских прав. В опубликованных файлах содержались изображения лицевой и обратной сторон удостоверений, а также инфракрасные и ультрафиолетовые изображения; отмечается, что эти записи могли облегчить поддельным удостоверениям прохождение проверки голограмм.
Nexus также утверждал, что предлагает коммерческие водительские права, государственные удостоверения личности, обозначенные как CAC, и карты диспансеров марихуаны. То, что новые записи обычно появлялись примерно через день или даже несколько часов после предъявления людьми удостоверений в компаниях по аренде автомобилей, указывает на почти передачу данных в реальном времени через сторонние сервисы проверки, используемые предприятиями. За 24 часа число опубликованных водительских прав увеличилось примерно на 400 000.
Согласно общедоступной информации, базирующаяся в Новом Орлеане компания IDScan.net имеет эксклюзивное соглашение с Planet13, а также называет Hertz и еще 11 компаний среди своих клиентов. Компания заявила, что начала расследование. Через несколько часов после публикации материала KrebsOnSecurity Nexus стал недоступен, поэтому проверить, были ли удостоверения людей в списке, невозможно.
Почему это важно
Этот случай показывает, что сторонние сервисы сканирования, используемые в процессах проверки личности, не только упрощают обработку, но и создают инфраструктуру, в которой собирается большое количество конфиденциальных данных. Наличие изображений лицевой и оборотной сторон, а также инфракрасных и ультрафиолетовых изображений означает, что для затронутых лиц речь идет не только о раскрытии персональной информации, но и о риске подделки удостоверяющих личность документов. Публикация данных вскоре после проведения операций по аренде требует, чтобы расследование было сосредоточено на том, на каком этапе потока данных это произошло, а также на контроле доступа со стороны поставщиков услуг. Недоступность Nexus лишает людей возможности проверить свои записи, оставляя открытым вопрос о том, какие именно лица и организации действительно пострадали.