Vad IDScan.net bekräftade och vilka uppgifter som exponerades

Ett identitetsverifieringsföretag med säte i Louisiana, IDScan.net, har bekräftat en dataöverträdelse som rapporteras vara kopplad till en darkweb-marknadsplats som säljer skanningar av mer än 153 miljoner amerikanska och kanadensiska körkort. Företagets bekräftelse följer veckor av rapportering om en kriminell annons som erbjuder massåtkomst till statligt utfärdade identitetshandlingar, inklusive fullständiga namn och bilder på körkort, och den sätter ett namn och en skala på en historia som tidigare mest cirkulerat bland säkerhetsforskare och övervakning av dark web.

IDScan.net bygger verktyg för identitetsverifiering och åldersverifiering som används av detaljhandlare, barer och andra verksamheter för att skanna och validera statliga ID-handlingar vid transaktionstillfället. Den affärsmodellen innebär att företaget behandlar och lagrar enorma mängder körkortsdata för sina kunders räkning, precis den typ av centraliserade arkiv som blir ett attraktivt enskilt mål för angripare. När ett företag som detta utsätts för intrång stannar inte konsekvenserna inom en enda verksamhet. De sprider sig till varje detaljhandlare, arena och plattform som förlitade sig på IDScan.net för att kontrollera en kunds ID, och till varje person vars körkort skannades som en rutinmässig del av att köpa åldersbegränsade produkter.

Varför körkortsläckor är svårare att återhämta sig från än läckta lösenord

Ett läckt lösenord är besvärligt men åtgärdbart. Du byter det, aktiverar tvåfaktorsautentisering och går vidare. Ett läckt körkort är ett helt annat problem. Dokumentet innehåller ett juridiskt namn, födelsedatum, hemadress, körkortsnummer och ofta ett fotografi, och inget av det kan helt enkelt återställas. Offer för körkortsexponering måste vanligtvis arbeta genom sitt delstats- eller provinsiella motorfordonsmyndighet för att begära ett nytt körkortsnummer, en process som tar tid och inte raderar den läckta skanningen som ligger på en kriminell marknadsplats.

Den permanensen är vad som gör den här typen av intrång särskilt värdefullt för bedragare. En stulen körkortsbild kan användas för att öppna finansiella konton, passera identitetskontroller hos andra verksamheter eller stödja syntetisk identitetsbedrägeri som kombinerar verkliga personuppgifter med påhittad information. Detta är inte första gången ett statligt arkiv för identitetshandlingar har komprometterats i stor skala. Australiens youX-intrång tvingade fram en landsomfattande nyutfärdande av körkort, och Frankrikes ANTS-intrång exponerade miljontals konton kopplade till nationell identitet och körkortsuppgifter. Incidenten hos IDScan.net följer samma mönster: ett centraliserat identitetsverifieringssystem som håller känsliga dokument för miljontals människor, utsatt för intrång en gång, med konsekvenser som varar långt längre än själva intrånget.

Hur lagar om verifieringskrav ökar din exponering mot företag som IDScan

Den obekväma verkligheten bakom detta intrång är att många människor aldrig valde att lämna sitt körkort direkt till IDScan.net. De lämnade det till en bar, en detaljhandlare eller en onlineplattform som outsourcade verifieringssteget till en tredjepartsleverantör, ofta utan att kunden visste vilket företag som faktiskt behandlade och lagrade skanningen. I takt med att krav på åldersverifiering har expanderat över delstater och länder kräver fler vardagstransaktioner nu att man visar en statlig ID-handling för ett system som ingen kan se eller granska. Vår tidigare rapportering om hur lagar om åldersverifiering driver massiv VPN-användning förklarar varför användare i allt högre grad känner sig pressade mot kringgående lösningar snarare än att skicka ID-skanningar till okända tredjeparter. Intrånget hos IDScan.net är en tydlig illustration av risken som dessa lagar skapar: varje nytt verifieringskrav lägger till ännu en leverantör, ännu en databas och ännu en potentiell felpunkt som håller dina identitetshandlingar.

Åtgärder för att begränsa skadan efter ett intrång i ID-verifiering

Om du tror att ditt körkort kan ingå i denna exponering finns det konkreta steg värda att ta nu. Kontakta din delstats- eller provinsiella motorfordonsmyndighet för att fråga om bedrägerivarningar eller nyutfärdande av ditt körkortsnummer om det alternativet är tillgängligt. Övervaka dina kreditrapporter och överväg en kreditfrysning, eftersom ett stulet körkort ofta används för att stödja identitetsstöld snarare än direkt ekonomiskt bedrägeri. Var uppmärksam på nätfiskeförsök som refererar till ditt riktiga namn, din adress eller dina körkortsuppgifter, eftersom angripare använder verifierade personuppgifter för att göra bedrägerier mer övertygande. Det är också värt att granska vår rapportering om stämningarna som lämnades in efter IDScan-intrånget först påstods, som beskriver de juridiska alternativ som offer kan ha och vilken åtgärd företaget hittills har erbjudit.

Vad detta innebär för dig

IDScan-intrånget i körkort är en påminnelse om att identitetsverifiering har blivit infrastruktur, och infrastruktur fallerar. Du kanske aldrig interagerar direkt med IDScan.net, men dina körkortsuppgifter kan ändå ligga i deras system eftersom en detaljhandlare eller arena valde den leverantören för att uppfylla en ålders- eller identitetskontroll. I takt med att fler transaktioner kräver ID-verifiering växer antalet företag som håller kopior av dina statliga handlingar, och det gör även din exponering för ett intrång som du inte hade någon roll i att orsaka.

Viktiga slutsatser

Kontrollera om ditt körkort skannades av en verksamhet som använde IDScan.net för verifiering, och kontakta din DMV om nyutfärdande av ditt körkortsnummer om du är orolig. Frys din kredit och övervaka för misstänkt kontoaktivitet under de kommande månaderna, eftersom körkortsdata stödjer mer långsiktigt identitetsbedrägeri snarare än en snabb engångsträff. Var uppmärksam på nätfiskemeddelanden som använder korrekta personuppgifter för att framstå som legitima. Slutligen, var uppmärksam på vilka tredjepartstjänster en verksamhet använder innan du lämnar över en statlig ID-handling, eftersom det är den leverantören, inte detaljhandlaren du litar på, som ofta faktiskt lagrar dina uppgifter.