IDScan.netが確認した内容と漏洩したデータ

ルイジアナ州を拠点とする本人確認企業IDScan.netは、1億5300万件を超える米国およびカナダの運転免許証のスキャン画像を販売していたダークウェブ市場に関連するとされるデータ侵害を確認した。この確認は、政府発行の身分証明書（氏名や免許証画像を含む）への一括アクセスを提供する犯罪的な出品に関する数週間にわたる報道を受けたものであり、これまで主にセキュリティ研究者やダークウェブ監視を通じて広まっていた話に、企業名と規模を与えるものとなった。

IDScan.netは、小売業者、バー、その他の事業者が取引時に政府発行のIDをスキャンして検証するために使用する本人確認・年齢確認ツールを構築している。このビジネスモデルは、同社がクライアントに代わって膨大な量の運転免許証データを処理・保存していることを意味し、まさに攻撃者にとって魅力的な単一の標的となる集中型リポジトリの典型である。このような企業が侵害されると、その影響は一つの企業にとどまらない。IDScan.netに依頼して顧客のIDを確認していたすべての小売業者、施設、プラットフォーム、そして年齢制限のある商品を購入する日常的な行為の一環として免許証をスキャンされたすべての人々に波及する。

運転免許証の漏洩がパスワード漏洩よりも回復が難しい理由

漏洩したパスワードは不便だが修正可能である。パスワードを変更し、二要素認証を有効にして、先に進めばよい。漏洩した運転免許証はまったく別の問題である。この文書には法的氏名、生年月日、自宅住所、免許証番号、そして多くの場合写真が含まれており、そのいずれも単純にリセットすることはできない。運転免許証が露出した被害者は通常、州または省の自動車管理局を通じて新しい免許証番号を申請する必要があり、そのプロセスには時間がかかり、犯罪市場に置かれた漏洩スキャン画像が消えるわけでもない。

この永続性こそが、この種の侵害を詐欺師にとって特に価値あるものにしている。盗まれた免許証画像は、金融口座の開設、他の事業者での本人確認の通過、または実在の個人情報と捏造情報を組み合わせた合成身份詐欺を支えるために使用されうる。政府の身分証明書リポジトリが大規模に侵害されたのはこれが初めてではない。オーストラリアのyouX侵害は全国的な運転免許証の再発行を余儀なくさせ、フランスのANTS侵害は国民IDと運転資格に関連する数百万のアカウントを露出させた。IDScan.netのインシデントも同じパターンに当てはまる。数百万人分の機密文書を保持する集中型の本人確認システムが一度侵害されると、その影響は侵害自体よりもはるかに長く続く。

本人確認義務法がIDScanのような企業への露出をいかに高めるか

この侵害の背後にある不快な現実は、多くの人々が自分の運転免許証をIDScan.netに直接渡すことを選んだわけではないということである。彼らはバー、小売業者、またはオンラインプラットフォームに渡したのであり、それらは確認ステップを第三者ベンダーに外部委託しており、どの企業が実際にスキャン画像を処理・保存しているかを顧客が知らないことが多い。年齢確認義務が州や国を超えて拡大するにつれ、ますます多くの日常的な取引で、誰も見たり監査したりできないシステムに政府発行のIDを提示することが求められるようになっている。年齢確認法がいかに大量のVPN導入を促進しているかに関する以前の報道では、ユーザーが不慣れな第三者にIDスキャンを提出するよりも回避策へと追いやられていると感じる理由を説明している。IDScan.netの侵害は、これらの法律が生み出すリスクを明確に示している。新たな確認要件のたびに、別のベンダー、別のデータベース、そしてあなたの身分証明書を保持する別の潜在的障害点が追加されるのである。

ID確認侵害後に被害を限定するための措置

自分の運転免許証がこの露出に含まれている可能性があると思われる場合、今すぐ取る価値のある具体的な措置がある。州または省の自動車管理局に連絡し、詐欺アラートや、可能であれば免許証番号の再発行について問い合わせること。盗まれた免許証は直接的な金融詐欺よりも身份詐欺を支えるために使用されることが多いため、信用報告書を監視し、クレジットフリーズを検討すること。攻撃者は検証済みの個人データを使用して詐欺をより説得力のあるものにするため、実際の名前、住所、免許証の詳細に言及したフィッシングの試みに注意すること。また、IDScanの侵害が最初に主張された後に提起された訴訟に関する報道を確認する価値もある。これは被害者が持ちうる法的選択肢と、同社がこれまでに提供した remediation（是正措置）を概説している。

あなたにとって何を意味するか

IDScanの運転免許証侵害は、本人確認がインフラストラクチャーになり、インフラストラクチャーは故障するということを思い起こさせる。あなたはIDScan.netと直接やり取りしたことがないかもしれないが、小売業者や施設が年齢確認や本人確認を満たすためにそのベンダーを選んだため、あなたの運転免許証データが依然としてそのシステムに存在している可能性がある。より多くの取引がID確認を必要とするにつれ、あなたの政府発行文書のコピーを保持する企業の数は増え続け、あなたが関与していない侵害への露出も増え続ける。

主なポイント

あなたの免許証が確認のためにIDScan.netを使用した事業者によってスキャンされたかどうかを確認し、懸念がある場合はDMVに連絡して免許証番号の再発行について相談すること。運転免許証データは一度きりの短期的な被害ではなく長期的な身份詐欺を支えるため、クレジットを凍結し、今後数か月間にわたって不審なアカウント活動を監視すること。正確な個人情報を使って正規に見せかけるフィッシングメッセージに警戒すること。最後に、政府発行のIDを渡す前に、その事業者がどの第三者サービスを使用しているかに注意を払うこと。あなたが信頼する小売業者ではなく、そのベンダーが実際にあなたのデータを保存していることが多いのである。