153 miljoen gescande rijbewijzen te koop: de Nexus-zaak en het probleem met KYC-gegevens
Begin september 2026 bood een darknetdienst genaamd Nexus doorzoekbare toegang tot scans van meer dan 153 miljoen rijbewijzen uit de Verenigde Staten en Canada, plus miljoenen andere identiteitsdocumenten. Binnen enkele dagen opende het kantoor van de FBI in New Orleans een officieel onderzoek naar de bron van de beelden, zoals eerst gemeld door KrebsOnSecurity. De FBI-hoek haalde de krantenkoppen, maar het eigenlijke verhaal gaat over infrastructuur: de identiteitsverificatiesystemen achter KYC-controles zijn een van de duurzaamste doelwitten van de datahandel op het darknet geworden.
Wat Nexus verkocht
De geadverteerde cijfers waren ongebruikelijk, zelfs voor darknetbegrippen: meer dan 153 miljoen Amerikaanse en Canadese rijbewijzen, ruim 10 miljoen identiteitskaarten, meer dan 3 miljoen reisdocumenten of internationale id-kaarten en ten minste 579.000 medische kaarten. Een lege zoekopdracht leverde zo'n 11,5 miljoen pagina's aan resultaten op, en het aantal rijbewijzen groeide met bijna 400.000 binnen 24 uur terwijl het verhaal werd onderzocht. De dienst werd gepromoot op het Russischtale cybercrimeforum Exploit, met het eigen rijbewijs van de meldende journalist als gratis proefexemplaar. Elk record kon zes afbeeldingsbestanden bevatten: de voor- en achterkant van het rijbewijs bij normaal licht, plus infrarood- en ultravioletversies van beide — precies de formaten waar automatische documentcontroles op zoeken. Naast rijbewijzen lagen ook kaarten van cannabisdispensaries in de voorraad, sommige met bronnotities als CDL of CAC. De tijdstempels vertelden hun eigen verhaal: wie zijn eigen rijbewijs in Nexus aantrof, kon die koppelen aan specifieke dagen — het ophalen van een huurauto bij Hertz of een bezoek aan een dispensary in Las Vegas — waarop hij zijn document aan een balielemedewerker had overhandigd.De idscan.net-verbinding
Het spoor wees naar idscan.net, een in Louisiana gevestigd identiteitsverificatiebedrijf waarvan de website merken als Hertz, Target, FedEx, Motorola Solutions, Jack Henry en Caesars Entertainment als klanten noemt. Het bedrijf zegt meer dan 21 miljoen verificaties per maand te verwerken op meer dan 20.000 locaties, waaronder ruim 1.000 cannabisdispensaries in 19 Amerikaanse staten. KrebsOnSecurity concludeerde dat de gegevens waarschijnlijk van het platform waren weggehaald. Op 8 september publiceerde idscan.net een melding dat een onbevoegde derde mogelijk toegang heeft gekregen tot klantinformatie en deze heeft gekopieerd, waaronder volledige namen en nummers van rijbewijzen of andere officiële identiteitsdocumenten, en dat het getroffen personen op de hoogte brengt en kredietbescherming aanbiedt. Caesars liet weten sinds februari 2025 geen klant meer te zijn; de zaak kreeg internationale berichtgeving, onder meer bij het Duitse Tarnkappe. Het FBI-kantoor in New Orleans opende een officieel onderzoek, en SecurityWeek meldde dat sommige rijbewijzen klaarblijkelijk van FBI-medewerkers waren. De Retail and Hospitality ISAC bevestigde dat de dienst kort na de eerste berichten verdween; de inlogpagina werd vervangen door een lakome mededeling: „Deze dienst is niet langer beschikbaar.” Wat de berichtgeving niet zegt, is wat er met de reeds verkochte kopieën is gebeurd. Een dataset van deze omvang houdt niet simpelweg op te bestaan omdat een winkel verdwijnt.Waarom rijbewijsscans de duurzaamste handelswaar zijn
Gestolen wachtwoorden worden vervangen; gestolen kaarten worden opnieuw uitgegeven. Een rijbewijs is anders: het verbindt een vrijwel vaste set gegevens — volledige naam, geboortedatum, woonadres, rijbewijsnummer — met een foto, en daar kan na een lek niets massaal van worden gewijzigd. Een rijbewijsnummer iemand decennialang. Dat is wat scans van voor- en achterkant, vastgelegd in zichtbaar, infrarood en ultraviolet licht, zo waardevol maakt: ze doorstaan zowel de menselijke als de machinale kant van identiteitscontrole. Eén goede scan opent meerdere aanvalslinies:- Identiteitssynthese. Rijbewijsgegevens combineren goed met andere gelekte gegevens om bank- of kredietrekeningen te openen, merkte Cybera-onderzoeker Larry Baldwin op nadat hij zijn eigen scan op Nexus had gevonden.
- Verslaan van documentverificatie. Infrarood- en ultravioletkopieën zijn precies wat automatische KYC-systemen controleren; een volledige scan ondersteunt dus account-takeovers en frauduleuze registraties waar een bijgesneden foto niet aan voldoet.
- Fysieke blootstelling. De records bevatten foto's en voeden dus beeldherkenningsinstrumenten. Baldwin waarschuwde dat de dataset mensen in gevaar kon brengen die niet gevonden mogen worden, van slachtoffers van huiselijk geweld tot verplaatste getuigen.
- Sociale engineering. Een echt overheidsdocument in handen van een aanvaller maakt imitatiepogingen aanzienlijk overtuigender.
Organisaties moeten identiteitssystemen ontwerpen vanuit de veronderstelling dat identiteitsbewijzen uiteindelijk gecompromitteerd zullen raken. Een document dat authentiek lijkt, kan niet onbeperkt als voldoende identiteitsbewijs gelden.Beveiligingsonderzoeker Zach Edwards, wiens eigen rijbewijs op Nexus opdook, trok een bredere conclusie: elk systeem dat mensen dwingt hun rijbewijs af te geven aan een derde partij, voedt deze gecentraliseerde voorraden, en het toezicht op de bedrijven die die data bewaren loopt achter bij wat ze inmiddels opslaan.
Schadebeperking als uw scan in zo'n dataset ligt
IDScan.net zegt getroffen personen op de hoogte te brengen en kredietbescherming aan te bieden. Maar iedereen die in Noord-Amerika een rijbewijs heeft afgegeven aan een verhuurbalie, een dispensary of een hotelreceptie heeft reden om aan te nemen dat ergens een scan bestaat. Niets hieronder maakt een lek ongedaan; het beperkt allemaal wat een koper ermee kan.- Zet uw krediet op slot bij de grote bureaus. Een gestolen rijbewijs levert veel minder op als er geen kredietfaciliteit op uw naam kan worden geopend.
- Reken op gericht phishing. Oplichters die uw echte naam, uw adres en uw rijbewijsnummer noemen, gissen niet; behandel zulke berichten als bewijs van compromittering.
- Vraag na voordat u iets afgeeft. Of een document gecontroleerd kan worden zonder het te scannen, te fotograferen of in te nemen, is een terechte vraag — en een die SecurityWeek aanraadt te stellen.
- Lever de ontbrekende stukken niet aan. Een aanvaller met uw rijbewijs zal aandringen op wat er ontbreekt: codes, selfies, aanvullende documenten. Dat kunt u weigeren.