Një faqe në dark web pretendoi se shiste 153 milionë leje drejtimi, më pas u zhduk

Një shërbim i dark web-it që pretendonte se shiste skanime të më shumë se 153 milionë patentave të drejtimit të automjeteve amerikane dhe kanadeze është mbyllur pasi Krebs on Security e identifikoi atë. Përpara se të zhdukej, faqja ofronte imazhe identifikimi që dukeshin se përfshinin skanime standarde, si dhe versione infra të kuqe dhe ultraviolete të përdorura në sistemet e verifikimit të dokumenteve. Ky zhvillim tregon një kompromis potencialisht të gjerë të sistemeve që bizneset përdorin për të verifikuar identifikimet fizike.

Shërbimi, i quajtur Nexus, ofronte të dhëna për patentat e drejtimit, kartat e identitetit, dokumentet e udhëtimit, kartat mjekësore dhe kredencialet e tjera. Krebs on Security raportoi se zyra e FBI-së në New Orleans ka hapur një hetim për një shkelje të dukshme që përfshin kompaninë e verifikimit të identitetit të Luizianës IDScan.net.

Nexus tha se kishte mbledhur të dhëna nga “një kompani e madhe verifikimi të identitetit” dhe kishte shtuar të dhëna të reja për më shumë se një vit. Ajo pretendonte se mbante më shumë se 153 milionë patentë shoferi, më shumë se 10 milionë karta identiteti, mbi 3 milionë dokumente udhëtimi dhe identifikimi ndërkombëtar, dhe të paktën 579,000 karta mjekësore.

Krebs zbuloi se një kërkim pa terma ktheu rreth 11.5 milion faqe me të dhëna, me afërsisht 15 rezultate në secilën faqe. Shumica e patentave duket se u përkisnin njerëzve në Shtetet e Bashkuara. Një kërkim i kufizuar në patentat kanadeze të drejtimit prodhoi rreth 1.1 milion të dhëna, duke përfshirë gati 474,000 nga Ontario.

Të dhënat përfshinin më shumë se imazhet e zakonshme nga përpara dhe nga prapa. Krebs gjeti skedarë të shumtë të lidhur me një licencë të vetme, duke përfshirë imazhe të dritës së dukshme dhe versione të kapura në infra të kuqe dhe ultravjollcë. Këto formate përdoren zakonisht për të kontrolluar veçoritë e sigurisë në dokumentet e identitetit.

Krebs krahasoi vulat kohore të bashkangjitura në disa të dhëna me historitë e udhëtimit dhe qirasë së njerëzve, patentat e të cilëve shfaqeshin në Nexus. Në disa raste, datat përputheshin me kohën kur këta njerëz dorëzuan dokumentet e tyre të identifikimit në sportelet e makinave me qira, farmacitë ose biznese të tjera.

Krebs gjeti skanime të patentës së tij dhe të patentës së nënës së tij me vula kohore vetëm disa sekonda larg njëra-tjetrës. Të dy ia kishin paraqitur patentat e tyre një punonjësi të Hertz ndërsa po merrte me qira një makinë. Nëna e tij tha se ajo ishte e vetmja herë që ia kishte treguar patentën atë ditë.

Studiuesi i sigurisë kibernetike Larry Baldwin gjeti gjithashtu licencën e tij në shërbim. Ai tha se vula kohore e saj përputhej me datën e një qiraje të kohëve të fundit të Hertz. Studiuesi i privatësisë Zach Edwards gjeti një të dhënë të lidhur me një udhëtim të kohëve të fundit në Las Vegas për konferencën e sigurisë DEFCON. Edwards tha se e kishte treguar licencën e tij në sigurinë e aeroportit, në hotelin Aria dhe në një farmaci marijuane Planet13. Farmacia ishte i vetmi vend që ai dinte se e kishte skanuar kartën me një pajisje.

Këto shembuj nuk vërtetojnë se nga kanë ardhur të dhënat. Por ato e shtynë Krebsin të shqyrtonte IDScan.net, një kompani në New Orleans që u ofron bizneseve teknologji verifikimi të identitetit.

IDScan.net thotë se sistemet e saj përpunojnë më shumë se 21 milionë verifikime çdo muaj në më shumë se 20,000 lokacione në të gjithë botën. Kompania thotë se teknologjia e saj kap ID-të si në dritën infra të kuqe ashtu edhe në atë ultravjollcë. Faqja e saj e internetit liston Hertz, FedEx, GameStop, Motorola Solutions dhe Jack Henry midis klientëve të saj. Gjithashtu njoftoi një marrëveshje ekskluzive me Planet13 në vitin 2022 dhe thotë se punon me më shumë se 1,000 dispensarë marihuane në 19 shtete.

IDScan.net i tha Krebs se po hetonte, por nuk dha detaje.

Incidenti është më serioz sesa një shkelje tipike që përfshin emra, adresa dhe numra patentash. Patentat përdoren gjerësisht për të hapur llogari, për të verifikuar moshën, për të marrë me qira automjete dhe për të konfirmuar identitetin. Imazhet infra të kuqe dhe ultraviolete mund t’u japin kriminelëve qasje në të dhëna që përdoren normalisht për të vërtetuar një dokument fizik.

Nexus renditi gjithashtu kartat e dispensarit të marijuanës, dhe disa të dhëna ishin të shënuara “CDL”, që mund t’i referohet patentave të shoferit komercial. Të tjera ishin të shënuara “CAC”, që ndoshta i referohen Kartave të Përbashkëta të Qasjes që përdoren për të hyrë në objektet qeveritare dhe zonat e sigurta.

Baldwin i tha Krebs se të dhënat mund të jenë veçanërisht të rrezikshme për njerëzit që përpiqen të mbajnë privatë vendndodhjet ose identitetet e tyre, duke përfshirë të mbijetuarit e dhunës në familje dhe njerëzit në programet e mbrojtjes së dëshmitarëve.

Faqja e hyrjes në shërbim më vonë ndryshoi në një mesazh të thjeshtë: “Ky shërbim nuk është më i disponueshëm”.

Hetimi i FBI-së pritet të shqyrtojë se si janë marrë të dhënat dhe nëse të dhënat janë kopjuar ose ndarë përpara se Nexus të zhdukej.