В даркнете продают 153 млн сканов водительских прав

В даркнете появился сервис Nexus, предлагающий поиск и покупку цифровых копий удостоверений личности жителей США и Канады. Его операторы заявляют о более чем 153 млн водительских удостоверений, 10 млн ID-карт, 3 млн проездных и международных документов и 579 тыс. медицинских карт. Масштаб базы частично подтвердил журналист Брайан Кребс: пустой поисковый запрос в Nexus выдавал около 11,5 млн страниц примерно по 15 результатов на каждой — это соответствует более чем 170 млн записей.

Источник данных официально пока не установлен. Однако проверка документов из Nexus вывела Кребса на американскую компанию IDScan[.]net, которая предоставляет системы проверки личности прокатам автомобилей, магазинам, казино, финансовым организациям и другим компаниям. Несколько временных меток на похищенных сканах совпали с моментами, когда их владельцы отдавали права сотрудникам Hertz, а сами изображения были сделаны в обычном, инфракрасном и ультрафиолетовом диапазонах — именно такой анализ поддерживает оборудование IDScan[.]net.

IDScan[.]net расследует возможный инцидент, но на момент публикации не подтвердила, что база Nexus получена из ее систем. Отделение ФБР в Новом Орлеане 1 сентября открыло официальное расследование предполагаемого взлома, связанного с компанией. Через несколько часов после выхода материала Кребса сайт Nexus исчез из даркнета.

Nexus начали рекламировать 31 августа на русскоязычном киберпреступном форуме Exploit. Аккаунт продавца был новым, а в качестве бесплатного образца владельцы сервиса выбрали скан водительского удостоверения самого Брайана Кребса.

В интерфейсе Nexus журналист обнаружил шесть изображений своих прав: лицевую и обратную стороны в обычном свете, а также версии, снятые в инфракрасном и ультрафиолетовом диапазонах. К именам файлов были добавлены дата и время сканирования.

Не каждая запись в Nexus содержала полный набор снимков. Некоторые документы вообще отображались без фотографий, а у части изображений не показывались исходные имена файлов. Поэтому нельзя утверждать, что все 153 млн водительских удостоверений представлены шестью фотографиями.

При этом заявленный объем базы выглядит правдоподобно. Запрос только по канадским водительским удостоверениям возвращал около 1,1 млн результатов, из них 473 673 приходились на Онтарио. Основная часть документов относилась к США.

В Nexus встречались также записи с пометками CDL и CAC. Первая, вероятно, означает commercial driver's license — коммерческое водительское удостоверение. Вторая может относиться к Common Access Card, удостоверению, которое используют сотрудники и подрядчики Министерства обороны США. Эти расшифровки остаются предположением Кребса: сами операторы Nexus значения полей не объясняли.

Создатели Nexus утверждали, что получают данные из продолжающегося взлома «крупной компании по проверке личности», среди клиентов которой есть несколько компаний из списка Fortune 500.

Операторы также заявили, что непрерывно выгружают новые данные больше года. Независимо подтвердить длительность компрометации пока невозможно.

Зато Кребс увидел признаки того, что база действительно продолжала пополняться. За сутки количество доступных в Nexus водительских удостоверений увеличилось почти на 400 тыс. Если данные действительно поступали из действующей системы проверки документов, речь может идти не об одном старом архиве, который однажды украли, а о длительном доступе к инфраструктуре. ФБР и IDScan.net пока не раскрывали технических деталей предполагаемого проникновения, поэтому механизм получения документов остается неизвестным.

Дата на файлах Кребса относилась к июню 2025 года, когда он летал на семейные похороны на Средний Запад США. Первой версией был аэропорт: водительские права часто предъявляют при прохождении контроля. Однако в тот день журналист использовал паспорт, поскольку его водительское удостоверение ещё не соответствовало требованиям REAL ID. Позже Кребс вспомнил, что после прилета арендовал автомобиль.

В Nexus нашлись и права его матери. Время создания ее снимков отличалось от времени сканирования документа Кребса всего на несколько секунд. В тот момент они находились вместе и одновременно передавали водительские удостоверения сотруднику Hertz при оформлении автомобиля. Мать журналиста подтвердила, что в тот день больше нигде права не предъявляла.

Кребс после этого попросил больше десятка друзей и родственников разрешить поиск их документов. Девять человек нашлись в Nexus, и все подтвердили поездку в день, указанный в метаданных, либо очень близко к нему. Несколько участников сохранили документы об аренде автомобилей. Их сравнение с метками Nexus позволило предположить, что время в названиях файлов записывалось по Гринвичу.

Двое участников исследования работали в федеральных ведомствах и использовали в аэропортах другие государственные удостоверения. Позже оба предъявляли обычные водительские права при аренде автомобилей. В обоих случаях машины брали в Hertz.

Исследователь кибербезопасности Ларри Болдуин обнаружил аналогичное совпадение: дата на его скане соответствовала недавней аренде автомобиля Hertz.

Hertz пока публично не объяснила, как именно обрабатывались документы в этих случаях. Кребс запросил комментарий компании.

Не все обнаруженные записи были связаны с прокатом автомобилей. В Nexus нашлись водительские права исследователя приватности Зака Эдвардса. Метка времени соответствовала его поездке в Лас-Вегас на DEF CON.

Машину Эдвардс не арендовал. В тот день он предъявлял права в аэропорту, гостинице Aria и магазине каннабиса Planet 13. Из этих трех мест он точно помнил сканирование документа специальным устройством именно в Planet 13. Это оказалось еще одной связью с IDScan.net.

Компания сама сообщала о сотрудничестве с Planet 13 еще в 2022 году. В точках сети использовались сканеры IDScan.net, синхронизированные с централизованной системой VeriScan. Компания описывала оборудование как средство проверки физических и цифровых удостоверений личности и борьбы с поддельными документами.

IDScan.net указывает, что ее продукты проводят более 21 млн проверок личности ежемесячно более чем в 20 тыс. точек по всему миру.

Сам масштаб бизнеса ничего не доказывает относительно происхождения Nexus, но показывает, что инфраструктура компании работает с объемами документов, сопоставимыми с заявленным размером базы.

Ключевой особенностью документов Кребса были снимки в трех диапазонах. Профессиональная проверка подлинности удостоверений отличается от обычного фотографирования камерой телефона. Специализированный сканер может анализировать документ в белом, ультрафиолетовом и инфракрасном свете, искать защитные элементы, голограммы, микропечать и сравнивать данные на разных сторонах документа.

Именно такую технологию предлагает IDScan[.]net. Компания пишет, что её системы аутентификации анализируют удостоверения в обычном, УФ- и ИК-свете, а совместимое оборудование может одновременно проверять лицевую и обратную стороны документа. Это совпадает с шестью файлами в записи Кребса: две стороны документа, каждая в трех вариантах.

Кребс обратился непосредственно в IDScan[.]net. Компания подтвердила, что изучает полученную информацию, но к моменту выхода расследования не опубликовала заключение о причинах инцидента и не подтвердила, что данные Nexus действительно были извлечены из ее инфраструктуры.

Представитель IDScan[.]net Джиллиан Коссман сообщила журналисту, что переданные им сведения помогают внутреннему расследованию, однако дополнительную информацию компания пока предоставить не может.

Во время проверки Nexus Кребс обнаружил документы нескольких высокопоставленных американских чиновников. В базе находились в том числе данные одного из руководителей ФБР.

Позже журналист участвовал в телефонной конференции с сотрудниками бюро, включая представителей киберподразделения. На ней ему сообщили, что отделение ФБР в Новом Орлеане 1 сентября открыло официальное расследование предполагаемого взлома, связанного с IDScan[.]net.

Само ФБР пока не опубликовало отдельный технический отчет об инциденте. Поэтому выводы о виновнике, способе проникновения и полном составе похищенных данных делать рано.

Через несколько часов после публикации расследования произошло еще одно событие: Nexus пропал из даркнета. Вместо страницы входа появилось короткое сообщение о прекращении работы сервиса.

Отдельный вопрос — почему изображения, сделанные во время проверки личности, вообще могли существовать спустя месяцы после аренды машины или посещения магазина. Документация IDScan[.]net показывает, что поведение зависит от продукта, тарифа и настроек конкретного клиента.

В облачной системе VeriScan администратор может выбрать, какие данные собирать: ничего, только обезличенную информацию, весь набор либо отдельные поля. Под «attachments» документация понимает в том числе сканы высокого разрешения лицевой и обратной сторон удостоверения.

Для новых аккаунтов настройка сбора по умолчанию — Collect all, то есть собирать все доступные данные. Базовый тариф не позволяет изменить этот режим.

Политика хранения настраивается отдельно. Новый аккаунт VeriScan по умолчанию сохраняет все записи в защищенном облаке без автоматического удаления. В зависимости от тарифа администратор может настроить полное удаление или очистку персональных данных через 8 часов, сутки, 7, 30, 60 или 90 дней либо через год. На базовом тарифе используется режим «не удалять», и изменить его нельзя. У другого продукта компании, DIVE Online API, срок хранения изображений и извлеченных из документа данных задает клиент — от нуля до 365 дней.