Satılık 153 milyon ehliyet taraması: Nexus vakası ve KYC verisi sorunu
Eylül 2026'nın başlarında Nexus adlı bir darknet servisi, ABD ve Kanada'ya ait 153 milyondan fazla ehliyet taramasına ve milyonlarca başka kimlik belgesine aranabilir erişim sunuyordu. Birkaç gün içinde FBI'ın New Orleans bürosu, görüntülerin kaynağına ilişkin resmi bir soruşturma açtı; bunu ilk olarak KrebsOnSecurity duyurdu. FBI açısı manşetlere taşındı ama asıl hikâye altyapıyla ilgili: KYC kontrollerinin arkasındaki kimlik doğrulama sistemleri, darknet veri ticaretinin en kalıcı hedeflerinden biri hâline geldi.
Nexus ne satıyordu
İlan edilen rakamlar darknet standartlarına göre bile sıra dışıydı: 153 milyondan fazla ABD ve Kanada ehliyeti, 10 milyondan fazla kimlik kartı, 3 milyondan fazla seyahat belgesi ya da uluslararası kimlik ve en az 579.000 medya/sağlık kartı. Boş bir arama yaklaşık 11,5 milyon sonuç sayfası döndürüyordu ve hikâye araştırılırken ehliyet sayısı 24 saat içinde yaklaşık 400.000 arttı. Servis, Rusça siber suç forumu Exploit'te tanıtıldı; hikâyeyi ortaya çıkaran gazetecinin kendi Virginia ehliyeti ücretsiz numune olarak sunuldu. Her kayıt altı görüntü dosyası içerebiliyordu: ehliyetin ön ve arka yüzü normal ışıkta, ayrıca her ikisinin kızılötesi ve morötesi versiyonları — tam da otomatik belge kontrollerinin aradığı formatlar. Envanterde ehliyetlerin yanı sıra esrar dispanserlerine ait kartlar da vardı; bazılarında CDL ya da CAC gibi kaynak notları bulunuyordu. Zaman damgaları kendi hikâyelerini anlatıyordu: Nexus'ta kendi ehliyetini bulanlar bunları somut günlerle eşleştirebiliyordu — ehliyeti bir memura elden teslim ettikleri bir Hertz araç kiralama ya da Las Vegas'taki bir dispanser ziyareti.idscan.net bağlantısı
İz, Louisiana merkezli kimlik doğrulama şirketi idscan.net'e çıktı; şirketin sitesi Hertz, Target, FedEx, Motorola Solutions, Jack Henry ve Caesars Entertainment gibi markaları müşterileri arasında listeliyor. Şirket, ayda 21 milyondan fazla doğrulamayı 20.000'den fazla lokasyonda gerçekleştirdiğini, bunların arasında 19 ABD eyaletindeki 1.000'den fazla esrar dispanserinin bulunduğunu belirtiyor. KrebsOnSecurity, verilerin büyük olasılıkla bu platformdan sızdırıldığı sonucuna vardı. 8 Eylül'de idscan.net, yetkisiz bir üçüncü tarafın müşteri bilgilerine erişmiş ve kopyalamış olabileceğini — tam adlar ile ehliyet ya da diğer resmi kimlik numaraları dahil — duyuran bir bildirim yayımladı; etkilenen kişilerin bilgilendirildiğini ve kredi koruması sunulduğunu belirtti. Caesars ise Şubat 2025'ten bu yana müşteri olmadığını açıkladı; dava, Almanya merkezli Tarnkappe dahil uluslararası basında yer buldu. FBI'ın New Orleans bürosu resmi bir soruşturma açtı; SecurityWeek, ehliyetlerin bir kısmının anlaşılan o ki FBI çalışanlarına ait olduğunu duyurdu. Retail and Hospitality ISAC, servisin ilk haberlerden kısa süre sonra kaybolduğunu, giriş sayfasının yerine kısa bir mesaj konduğunu doğruladı: “Bu servis artık kullanılamıyor.” Haberlerde yer almayan şey ise satılmış olan kopyalara ne olduğu. Bu boyutta bir veri kümesi, dükkân kapandı diye var olmayı bırakmaz.Ehliyet taramaları neden bu ticaretin en kalıcı malı
Çalınan şifreler değiştirilir; çalınan kartlar yeniden düzenlenir. Ehliyet farklıdır: büyük ölçüde sabit bir bilgi setini — tam ad, doğum tarihi, ikamet adresi, ehliyet numarası — bir fotoğrafa bağlar ve sızıntıdan sonra bunların hiçbiri toplu olarak değiştirilemez. Bir ehliyet numarası onyıllarca kişiyle kalır. Görünür, kızılötesi ve morötesi ışıkta çekilmiş ön-arka taramalarını bu kadar değerli kılan da budur: kimlik doğrulamanın hem insan hem makine tarafını geçerler. Tek bir kaliteli tarama birkaç ayrı saldırı hattı açar:- Kimlik sentezi. Ehliyet verileri, banka ya da kredi hesabı açmak için diğer sızmış kayıtlarla iyi birleşir; Cybera araştırmacısı Larry Baldwin, kendi taramasını Nexus'ta bulduktan sonra tam bunu not etti.
- Belge doğrulamayı aşmak. Kızılötesi ve morötesi kopyalar, otomatik KYC sistemlerinin denetlediği şeyin ta kendisidir; bu yüzden tam bir tarama, kırpılmış bir fotoğrafın yetemediği hesap ele geçirme ve sahte kayıt girişimlerini destekler.
- Fiziksel maruziyet. Kayıtlar fotoğraf içerir ve bu yüzden görüntü eşleştirme araçlarını besler. Baldwin, veri kümesinin bulunamamayı göze alamayan kişileri — aile içi şiddetten kaçanlardan yerinden edilen tanıklara kadar — tehlikeye atabileceği uyarısında bulundu.
- Sosyal mühendislik. Saldırganın elindeki gerçek bir resmi kimlik belgesi, kimliğine bürünme girişimlerini kayda değer biçimde inandırıcı kılar.
Örgütler, kimlik kanıtlarının er ya da geç tehlikeye düşeceği varsayımıyla kimlik sistemlerini tasarlamalıdır. Gerçek görünen bir belge, süresiz olarak yeterli kimlik kanıtı sayılamaz.Kendi ehliyeti de Nexus'ta ortaya çıkan güvenlik araştırmacısı Zach Edwards daha geniş bir sonuç çıkardı: insanlardan ehliyetini üçüncü taraf bir servise teslim etmesini isteyen her düzen bu merkezi havuzları besliyor ve bu verileri elinde tutan şirketler üzerindeki denetim, depoladıkları miktarın gerisinde kalıyor.
Taramanız bir veri yığınındaysa zarar azaltma
IDScan.net, etkilenen kişileri bilgilendirdiğini ve kredi koruması sunduğunu belirtiyor. Ama Kuzey Amerika'da bir kiralama bankosuna, dispansere ya da resepsiyona ehliyetini veren herkesin, bir taramanın bir yerlerde var olduğunu varsaymak için nedeni var. Aşağıdakilerin hiçbiri bir sızıntıyı geri almaz; hepsi, alıcının bununla ne yapabileceğini daraltır.- Kredinizi büyük bürolarda dondurun. Adınıza yeni bir kredi hattı açılamıyorsa çalınan bir ehliyet çok daha az kârlıdır.
- Hedefli phishing bekleyin. Gerçek adınızı, adresinizi ve ehliyet numaranızı söyleyen dolandırıcılar tahmin yürütmüyor; bu tür mesajları ele geçirme kanıtı olarak değerlendirin.
- Bir şey vermeden önce sorun. Bir belgenin taranmadan, fotoğraflanmadan ve alıkonulmadan doğrulanıp doğrulanamayacağı makul bir sorudur — ve SecurityWeek'in sorulmasını önerdiği soru budur.
- Eksik parçaları tamamlamayı reddedin. Ehliyetinizi elinde tutan saldırgan eksikler için zorlayacaktır: kodlar, selfie'ler, ek belgeler. Bunları reddedebilirsiniz.