153 миллиона сканов водительских прав на продажу: дело Nexus и проблема данных KYC
В начале сентября 2026 года даркнет-сервис под названием Nexus предлагал поиск по сканам более 153 миллионов водительских прав из США и Канады, а также миллионов других документов, удостоверяющих личность. Уже через несколько дней офис ФБР в Новом Орлеане открыл официальное расследование источников этих изображений — об этом первой сообщила KrebsOnSecurity. ФБРшный угол попал в заголовки, но настоящая история — об инфраструктуре: системы идентификации, на которых держатся KYC-проверки, стали одной из самых долговечных целей торговли данными в даркнете.
Что продавал Nexus
Заявленные цифры были необычны даже по меркам даркнета: свыше 153 миллионов американских и канадских водительских прав, более 10 миллионов удостоверений личности, более 3 миллионов проездных документов или международных удостоверений и не менее 579 000 медицинских карт. Пустой поиск выдавал около 11,5 миллиона страниц результатов, а число прав выросло почти на 400 000 за 24 часа, пока готовился материал. Сервис рекламировался на русскоязычном криминальном форуме Exploit — причём собственные права автора расследования предлагались в качестве бесплатного образца. Каждая запись могла включать шесть файлов изображений: лицевую и оборотную сторону прав при обычном свете, а также их инфракрасные и ультрафиолетовые версии — именно те форматы, которые проверяют автоматические системы проверки документов. В инвентаре рядом с правами лежали карты диспенсеров марихуаны, некоторые с пометками источника вроде CDL или CAC. Отметки времени рассказывали свою историю: нашедшие свои права в Nexus могли соотнести их с конкретными днями — получением автомобиля в прокате Hertz или визитом в диспенсер Лас-Вегаса — когда они лично передавали документ клерку.Связь с idscan.net
След вел к idscan.net — компании из Луизианы, занимающейся проверкой личности, на сайте которой среди клиентов указаны Hertz, Target, FedEx, Motorola Solutions, Jack Henry и Caesars Entertainment. Компания заявляет, что обрабатывает более 21 миллиона проверок в месяц более чем в 20 000 точек, включая свыше 1000 диспенсеров марихуаны в 19 штатах США. KrebsOnSecurity заключил, что данные, скорее всего, были слиты именно с этой платформы. 8 сентября idscan.net опубликовала уведомление: неавторизованная третья сторона могла получить доступ к клиентской информации и скопировать её, включая полные имена и номера водительских прав либо других официальных документов; компания уведомляет затронутых лиц и предлагает кредитную защиту. Caesars сообщила, что не является клиентом с февраля 2025 года; дело получило международное освещение, в том числе в немецком Tarnkappe. Офис ФБР в Новом Орлеане открыл официальное расследование, а SecurityWeek сообщил, что некоторые права, судя по всему, принадлежали сотрудникам ФБР. Retail and Hospitality ISAC подтвердил, что сервис исчез вскоре после первых публикаций — его страница входа сменилась лаконичной надписью: «Этот сервис больше недоступен». В публикациях не сказано, что стало с уже проданными копиями. Набор данных такого размера не перестает существовать лишь потому, что исчезла витрина.Почему сканы прав — самый долговечный товар этой торговли
Украденные пароли меняют, украденные карты перевыпускают. С водительскими правами иначе: они привязывают практически неизменный набор данных — полное имя, дату рождения, домашний адрес, номер прав — к фотографии, и после утечки ничего из этого нельзя изменить массово. Номер прав сопровождает человека десятилетиями. Именно поэтому так ценны сканы обеих сторон документа, снятые в видимом, инфракрасном и ультрафиолетовом спектре: они проходят и человеческую, и машинную проверку личности. Один качественный скан открывает сразу несколько линий атаки:- Синтез личности. Данные прав хорошо комбинируются с другими утекшими записями для открытия банковских или кредитных счетов, как заметил исследователь Cybera Ларри Болдуин, найдя свой собственный скан в Nexus.
- Обход проверки документов. Инфракрасные и ультрафиолетовые копии — ровно то, что проверяют автоматические KYC-системы, поэтому полный скан поддерживает угоны аккаунтов и мошеннические регистрации, на которые неспособно обрезанное фото.
- Физическая опасность. В записях есть фотографии, а значит, они питают инструменты поиска по изображениям. Болдуин предупреждал, что набор данных может угрожать людям, которым нельзя быть найденными, — от жертв домашнего насилия до перевезенных свидетелей.
- Социальная инженерия. Настоящий государственный документ в руках злоумышленника делает попытки имперсонации куда более убедительными.
Организациям следует проектировать системы идентификации исходя из того, что подтверждения личности рано или поздно будут скомпрометированы. Документ, который лишь выглядит подлинным, не может бесконечно считаться достаточным подтверждением личности.Исследователь безопасности Зах Эдвардс, чьи собственные права всплыли в Nexus, сделал более широкий вывод: любая схема, требующая отдать водительские права стороннему сервису, питает эти централизованные хранилища, а надзор за компаниями, которые держат эти данные, не поспевает за объемами их хранения.
Снижение вреда, если ваш скан утек
IDScan.net сообщает, что уведомляет затронутых лиц и предлагает кредитную защиту. Но любой, кто в Северной Америке передавал права стойке проката авто, диспенсеру или стойке регистрации в отеле, может исходить из того, что скан где-то существует. Ничто из перечисленного ниже не отменяет утечку; все это лишь сужает круг того, что покупатель сможет сделать с ней.- Заморозьте кредитную историю в крупнейших бюро. Украденные права гораздо менее прибыльны, если на ваше имя нельзя открыть новую кредитную линию.
- Ожидайте адресного фишинга. Мошенники, называющие ваше настоящее имя, адрес и номер прав, не угадывают; воспринимайте такие сообщения как признак компрометации.
- Спрашивайте, прежде чем что-то отдавать. Можно ли проверить документ, не сканируя, не фотографируя и не изымая его, — вопрос законный, и SecurityWeek рекомендует его задавать.
- Не докладывайте недостающие куски. Атакующий с вашими правами станет выпрашивать недостающее: коды, селфи, дополнительные документы. Это вы вправе отклонить.