153 milionów skanów praw jazdy na sprzedaż: sprawa Nexus i problem danych KYC
Na początku września 2026 r. serwis darknetu o nazwie Nexus oferował przeszukiwalny dostęp do skanów ponad 153 milionów praw jazdy ze Stanów Zjednoczonych i Kanady, a także milionów innych dokumentów tożsamości. W ciągu kilku dni biuro FBI w Nowym Orleanie wszczęło oficjalne śledztwo w sprawie źródła tych zdjęć, o czym jako pierwszy poinformował KrebsOnSecurity. Wątek FBI trafił na czołówki, ale właściwa historia dotyczy infrastruktury: systemy weryfikacji tożsamości, na których opierają się kontrole KYC, stały się jednym z najbardziej trwałych celów handlu danymi w darknecie.
Co sprzedawał Nexus
Ogłaszane liczby były nietypowe nawet jak na standardy darknetu: ponad 153 miliony amerykańskich i kanadyjskich praw jazdy, ponad 10 milionów dowodów osobistych, ponad 3 miliony dokumentów podróży lub międzynarodowych dokumentów tożsamości oraz co najmniej 579 tysięcy kart medycznych. Puste wyszukiwanie zwracało około 11,5 miliona stron wyników, a liczba praw jazdy rosła o blisko 400 tysięcy w ciągu 24 godzin, gdy historia była badana. Serwis był promowany na rosyjskojęzycznym forum cyberprzestępczości Exploit — przy czym własne prawo jazdy reportera oferowano jako darmową próbkę. Każdy rekord mógł zawierać sześć plików graficznych: awers i rewers prawa jazdy w świetle zwykłym oraz ich wersje w podczerwieni i ultrafiolecie — dokładnie te formaty, których szukają automatyczne systemy weryfikacji dokumentów. Obok praw jazdy w asortymencie leżały karty dyspensariuszy marihuany, niektóre z adnotacjami źródła takimi jak CDL czy CAC. Znaczniki czasu opowiadały własną historię: ci, którzy odnaleźli w Nexus własne prawo jazdy, potrafili dopasować je do konkretnych dni — odbioru auta w wypożyczalni Hertz albo wizyty w dyspensariuszu w Las Vegas — gdy osobiście przekazywali dokument pracownikowi ladu.Połączenie z idscan.net
Ślad prowadził do idscan.net — firmy zajmującej się weryfikacją tożsamości z siedzibą w Luizjanie, której strona wymienia wśród klientów marki takie jak Hertz, Target, FedEx, Motorola Solutions, Jack Henry i Caesars Entertainment. Firma deklaruje obsługę ponad 21 milionów weryfikacji miesięcznie w ponad 20 tysiącach punktów, w tym ponad tysiącu dyspensariuszy marihuany w 19 stanach USA. KrebsOnSecurity doszedł do wniosku, że dane najprawdopodobniej pochodziły z tej platformy. 8 września idscan.net opublikował informację, że nieuprawniona strona trzecia mogła uzyskać dostęp do danych klientów i skopiować je — w tym pełne imiona i nazwiska oraz numery praw jazdy lub innych oficjalnych dokumentów tożsamości — i że powiadamia osoby dotknięte oraz oferuje ochronę kredytową. Caesars oświadczyła, że nie jest klientem od lutego 2025 r.; sprawa zdobyła międzynarodowy rozgłos, w tym w niemieckim Tarnkappe. Biuro FBI w Nowym Orleanie wszczęło oficjalne śledztwo, a SecurityWeek podał, że niektóre prawa jazdy najwyraźniej należały do pracowników FBI. Retail and Hospitality ISAC potwierdził, że serwis zniknął krótko po pierwszych doniesieniach, a jego strona logowania została zastąpiona lakonicznym komunikatem: „Ta usługa nie jest już dostępna”. Doniesienia nie mówią natomiast, co stało się z już sprzedanymi kopiami. Zbiór danych tej wielkości nie przestaje istnieć tylko dlatego, że znika sklep.Dlaczego skany praw jazdy to najtrwalszy towar tego handlu
Ukradzione hasła się rotuje; ukradzione karty ponownie się wystawia. Prawo jazdy jest inne: wiąże w zasadzie niezmienny zestaw danych — imię i nazwisko, datę urodzenia, adres zamieszkania, numer prawa jazdy — ze zdjęciem, i nic z tego nie da się masowo zmienić po wycieku. Numer prawa jazdy towarzyszy człowiekowi dekadami. Właśnie dlatego tak cenne są skany obu stron dokumentu zarejestrowane w świetle widzialnym, podczerwonym i ultrafioletowym: przechodzą i ludzką, i maszynową stronę weryfikacji tożsamości. Pojedynczy, dobry skan otwiera kilka linii ataku:- Synteza tożsamości. Dane z prawa jazdy dobrze łączą się z innymi wyciekłymi rekordami przy otwieraniu kont bankowych lub kredytowych, jak zauważył badacz Cybera Larry Baldwin po odnalezieniu własnego skanu w Nexusie.
- Omijanie weryfikacji dokumentów. Kopie w podczerwieni i ultrafiolecie to dokładnie to, co sprawdzają automatyczne systemy KYC, więc pełny skan wspiera przejęcia kont i fałszywe rejestracje, na których nie wystarczy przycięte zdjęcie.
- Narażenie fizyczne. Rekordy zawierają zdjęcia, a więc zasilają narzędzia dopasowywania obrazów. Baldwin ostrzegał, że zbiór mógł zagrozić osobom, które nie mogą sobie pozwolić na odnalezienie — od ofiar przemocy domowej po przeniesionych świadków.
- Inżynieria społeczna. Prawdziwy oficjalny dokument w rękach atakującego sprawia, że próby podszywania się są znacznie bardziej przekonujące.
Organizacje powinny projektować systemy tożsamości w założeniu, że dowody tożsamości prędzej czy później zostaną skompromitowane. Dokument, który tylko wygląda autentycznie, nie może w nieskończoność uchodzić za wystarczający dowód tożsamości.Badacz bezpieczeństwa Zach Edwards, którego własne prawo jazdy pojawiło się w Nexusie, wyciągnął szerszy wniosek: każdy schemat wymagający oddania prawa jazdy podmiotowi zewnętrznemu zasila te scentralizowane zbiorniki, a nadzór nad firmami przechowującymi te dane nie nadąża za skalą ich magazynowania.
Ograniczanie szkód, gdy twój skan jest w wycieku
IDScan.net deklaruje, że powiadamia osoby dotknięte i oferuje ochronę kredytową. Ale każdy, kto w Ameryce Północnej oddał prawo jazdy w wypożyczalni, dyspensariuszu czy recepcji hotelu, ma powody zakładać, że skan gdzieś istnieje. Nic z poniższego nie cofa wycieku; wszystko to zawęża to, co kupujący może z nim zrobić.- Zamroź kredyt w największych biurach informacji kredytowej. Ukradzione prawo jazdy jest znacznie mniej zyskowne, gdy na twoje nazwisko nie da się otworzyć nowej linii kredytowej.
- Oczekuj ukierunkowanego phishingu. Oszuści podający twoje prawdziwe imię i nazwisko, adres i numer prawa jazdy nie zgadują; traktuj takie wiadomości jako dowód kompromitacji.
- Pytaj, zanim coś oddasz. Czy dokument można sprawdzić bez skanowania, fotografowania i zatrzymywania — to zasadne pytanie, i to takie, które SecurityWeek zaleca zadawać.
- Nie uzupełniaj brakujących elementów. Atakujący z twoim prawem jazdy będzie naciskał na brakujące części: kody, selfie, dodatkowe dokumenty. Tego możesz odmówić.