153 мільйони сканів водійських прав на продаж: справа Nexus і проблема даних KYC
На початку вересня 2026 року даркнет-сервіс під назвою Nexus пропонував пошук за сканами понад 153 мільйонів водійських прав зі США та Канади, а також мільйонів інших документів, що посвідчують особу. За кілька днів офіс ФБР у Новому Орлеані відкрив офіційне розслідування джерела цих зображень — про це першою повідомила KrebsOnSecurity. Кут ФБР потрапив у заголовки, але справжня історія — про інфраструктуру: системи перевірки особи, на яких тримаються KYC-контролі, стали однією з найдовговічніших цілей торгівлі даними в даркнеті.
Що продавав Nexus
Заявлені цифри були незвичними навіть за мірками даркнету: понад 153 мільйони американських і канадських водійських прав, понад 10 мільйонів посвідчень особи, понад 3 мільйони проїзних документів чи міжнародних посвідчень та щонайменше 579 000 медичних карток. Порожній пошук видавав близько 11,5 мільйона сторінок результатів, а кількість прав зросла майже на 400 000 за 24 години, поки готувався матеріал. Сервіс рекламувався на російськомовному кіберзлочинному форумі Exploit — причому власні права автора розслідування пропонували як безкоштовний зразок. Кожен запис міг містити шість файлів зображень: лицьову та зворотну сторону прав за звичайного світла, а також їхні інфрачервоні та ультрафіолетові версії — саме ті формати, які перевіряють автоматичні системи перевірки документів. Поряд із правами в асортименті лежали картки диспансерів марихуани, деякі з позначками джерела на кшталт CDL чи CAC. Мітки часу розповідали власну історію: ті, хто знайшов свої права в Nexus, могли співвіднести їх із конкретними днями — отриманням авто в прокаті Hertz чи візитом до диспансера в Лас-Вегасі — коли вони особисто передавали документ клерку.Зв'язок із idscan.net
Слід вів до idscan.net — компанії з Луїзіани, що займається перевіркою особи, на сайті якої серед клієнтів указані Hertz, Target, FedEx, Motorola Solutions, Jack Henry та Caesars Entertainment. Компанія заявляє, що опрацьовує понад 21 мільйон перевірок на місяць у понад 20 000 точках, включно з понад тисячею диспансерів марихуани у 19 штатах США. KrebsOnSecurity дійшов висновку, що дані, найімовірніше, зливали саме з цієї платформи. 8 вересня idscan.net опублікувала повідомлення: неавторизована третя сторона могла отримати доступ до клієнтської інформації та скопіювати її, зокрема повні імена та номери водійських прав чи інших офіційних документів; компанія повідомляє постраждалих і пропонує кредитний захист. Caesars повідомила, що не є клієнтом з лютого 2025 року; справа отримала міжнародне висвітлення, зокрема в німецькому Tarnkappe. Офіс ФБР у Новому Орлеані відкрив офіційне розслідування, а SecurityWeek повідомив, що деякі права, судячи з усього, належали співробітникам ФБР. Retail and Hospitality ISAC підтвердив, що сервіс зник невдовзі після перших публікацій, а його сторінка входу змінилася лаконічним написом: «Цей сервіс більше недоступний». У публікаціях не сказано, що сталося з уже проданими копіями. Набір даних такого розміру не перестає існувати лише тому, що зникла вітрина.Чому скани прав — найдовговічніший товар цієї торгівлі
Украдені паролі змінюють, украдені картки перевипускають. З водійськими правами інакше: вони прив'язують практично незмінний набір даних — повне ім'я, дату народження, домашню адресу, номер прав — до фотографії, і після витоку нічого з цього не можна змінити масово. Номер прав супроводжує людину десятиліттями. Саме тому такими цінними є скани обох боків документа, зняті у видимому, інфрачервоному та ультрафіолетовому спектрі: вони проходять і людську, і машинну перевірку особи. Один якісний скан відкриває одразу кілька ліній атаки:- Синтез особи. Дані прав добре поєднуються з іншими витеклими записами для відкриття банківських чи кредитних рахунків, як зауважив дослідник Cybera Ларрі Болдуін, знайшовши власний скан у Nexus.
- Обхід перевірки документів. Інфрачервоні та ультрафіолетові копії — це рівно те, що перевіряють автоматичні KYC-системи, тож повний скан підтримує захоплення акаунтів і шахрайські реєстрації, на які не здатне обрізане фото.
- Фізична небезпека. У записах є фотографії, а отже, вони живлять інструменти пошуку за зображеннями. Болдуін попереджав, що набір даних може загрожувати людям, яким не можна бути знайденими, — від жертв домашнього насильства до переселених свідків.
- Соціальна інженерія. Справжній державний документ у руках зловмисника робить спроби видачі себе за іншу особу значно переконливішими.
Організаціям слід проєктувати системи ідентифікації з припущення, що підтвердження особи рано чи пізно буде скомпрометоване. Документ, який лише виглядає справжнім, не може нескінченно вважатися достатнім підтвердженням особи.Дослідник безпеки Зак Едвардс, чиї власні права спливли в Nexus, зробив ширший висновок: будь-яка схема, що вимагає віддати водійські права сторонньому сервісу, живить ці централізовані сховища, а нагляд за компаніями, які тримають ці дані, не встигає за обсягами їхнього зберігання.
Зменшення шкоди, якщо ваш скан десь витік
IDScan.net повідомляє, що інформує постраждалих і пропонує кредитний захист. Але будь-хто, хто в Північній Америці передавав права стійці прокату авто, диспансеру чи стійці реєстрації в готелі, має підстави виходити з того, що скан десь існує. Ніщо з переліченого нижче не скасовує витік; усе це лише звужує коло того, що покупець зможе з ним зробити.- Заморозьте кредитну історію в найбільших бюро. Украдені права значно менш прибуткові, якщо на ваше ім'я не можна відкрити нову кредитну лінію.
- Очікуйте цільового фішингу. Шахраї, які називають ваше справжнє ім'я, адресу та номер прав, не вгадують; сприймайте такі повідомлення як ознаку компрометації.
- Питайте, перш ніж щось віддавати. Чи можна перевірити документ, не скануючи, не фотографуючи та не вилучаючи його, — закономірне запитання, і саме його радить ставити SecurityWeek.
- Не додавайте бракуючі частини. Зловмисник із вашими правами випрошуватиме недостаче: коди, селфі, додаткові документи. Від цього можна відмовитися.