Dwa skany praw jazdy w bazie przestępczego serwisu mają znaczniki czasu oddalone od siebie o kilka sekund. Należą do dziennikarza i do jego matki. Oboje podali tego dnia dokument tej samej osobie, za ladą wypożyczalni samochodów. Tak wskazano najbardziej prawdopodobne źródło zbioru ponad 153 milionów praw jazdy z USA i Kanady. Wystawiono go na sprzedaż pod koniec sierpnia na rosyjskojęzycznym forum przestępczym. Ślady prowadzą do firmy z Luizjany, która weryfikuje tożsamość dla wypożyczalni, hoteli i sklepów. Firma niczego nie potwierdziła, a opisane osoby jej klientami nie były. Były klientami wypożyczalni.
Co dokładnie było na sprzedaż w serwisie Nexus
Serwis o nazwie Nexus ogłosił się w tygodniu 31 sierpnia. W ofercie miał ponad 153 miliony praw jazdy, a obok nich miliony dowodów tożsamości, dokumentów podróży i kart medycznych. Same liczby pochodzą od sprzedającego, więc trzeba je czytać jak reklamę przestępcy.
Skalę dało się jednak sprawdzić od środka. Puste zapytanie zwracało około 11,5 miliona stron wyników. Rekordy kanadyjskie były niewielką częścią zbioru, reszta dotyczyła Amerykanów. W ciągu jednej doby liczba praw jazdy urosła o blisko 400 tysięcy, co sugeruje, że baza była zasilana na bieżąco.
Najwięcej mówi budowa pojedynczego rekordu. To sześć plików: trzy pary awersu i rewersu, w tym zwykły skan oraz wersje wykonane w podczerwieni i ultrafiolecie. Telefon takich zdjęć nie zrobi. Robi je urządzenie sprawdzające zabezpieczenia dokumentu, czyli sprzęt stojący za ladą. Do nazwy każdego pliku doklejona jest data i godzina.
Jak dziennikarz wskazał najbardziej prawdopodobne źródło
Metoda była żmudna i dlatego przekonująca. Brian Krebs, który opisał sprawę w serwisie KrebsOnSecurity, poprosił kilkanaście osób z rodziny i znajomych o zgodę na wyszukanie ich dokumentów. Znalazł dziewięć. Każda potwierdziła podróż w dniu ze znacznika czasu albo w pobliżu tej daty.
Pierwsza hipoteza mówiła o lotniskach i szybko upadła. W zbiorze nie ma paszportów, a sam autor tego dnia okazał na kontroli paszport, nie prawo jazdy. Zostało to, co robił później: wynajem samochodu. Kilka osób z tej dziewiątki wypożyczało auto w Hertzu, w tym dwoje urzędników federalnych, którzy na lotnisku pokazywali zupełnie inny dokument.
Drugi trop poszedł inną drogą i trafił w to samo miejsce. Badacz prywatności Zach Edwards znalazł swój rekord ze znacznikiem z wyjazdu na konferencję do Las Vegas. Tego dnia pokazywał dokument w trzech miejscach, ale tylko w jednym z nich włożono go do urządzenia: w sklepie z marihuaną sieci Planet13. Ta sieć ma od 2022 roku umowę na weryfikację tożsamości z firmą idscan.net z Nowego Orleanu. Ta sama firma obsługuje Hertza. I ta sama firma, jak wynika z jej własnych materiałów, skanuje dokumenty w podczerwieni i ultrafiolecie.
Dlaczego skupienie skanów u jednego dostawcy mnoży skutki naruszenia
Tu jest sedno tej sprawy i to jedyna jej część, która nie jest lokalna. Firma podaje, że wykonuje ponad 21 milionów weryfikacji miesięcznie w ponad 20 tysiącach lokalizacji. Obsługuje między innymi Hertza, Targeta, FedExa i sieć kasyn, a na własnej stronie chwali się analizą uczoną na setkach milionów dokumentów tożsamości.
Policzmy, co to znaczy dla zwykłego człowieka. Taki dostawca sprzedaje usługę firmom, nie ludziom. Osoby opisane przez dziennikarza przekazywały dokument wypożyczalni albo sklepowi, a nie dostawcy technologii. On stoi piętro niżej, poza polem widzenia, i to u niego zbiera się obraz z tysięcy lad naraz. Jedno włamanie w takim miejscu daje więcej niż włamania do wszystkich tych sklepów po kolei.
Jest jeszcze powód, dla którego skan dokumentu waży więcej niż wykradzione hasło. Hasło się zmienia w minutę. Dokument da się unieważnić i wyrobić nowy, ale gotowego skanu ani wizerunku nikt już z obiegu nie wycofa. Larry Baldwin z firmy Cybera zwraca uwagę, że w USA prawo jazdy służy powszechnie jako dowód tożsamości przy otwieraniu linii kredytowych. Wskazuje też grupy, dla których to jest zagrożenie innego rzędu: osoby ukrywające się przed przemocą domową oraz objęte ochroną świadków. Wyglądu nie da się zmienić na tyle, żeby zmylić dzisiejsze narzędzia rozpoznawania obrazu.
Pierwsza Misja AI · Kodożercy
Pierwszy raz z AI? Zaczynasz od zera.
Pierwsza Misja AI to kurs dla osób bez technicznego przygotowania. Nie musisz pisać kodu ani znać żargonu. Dowiesz się, jak działa AI, jak promptować i jak korzystać z niej w pracy.
Wejdź na pokład →
Co się dzieje ze skanem dowodu osobistego, kiedy oddajesz go firmie
Zacznijmy od granicy, której ten tekst nie przekracza. Zbiór obejmuje wyłącznie USA i Kanadę. Polskich dokumentów w nim nie ma i nikt takiej informacji nie podał. Przenosi się natomiast sam mechanizm. Skan dowodu osobistego oddajemy u nas równie często: przy wynajmie mieszkania, w hotelu, u operatora, przy umowie na raty, czasem pracodawcy.
W każdej z tych sytuacji warto zadać pytanie, które prawie nikt nie zadaje. Nie “czy ta firma jest wiarygodna”, tylko “komu ta firma przekazuje mój skan”. Odpowiedź brzmi zwykle: podwykonawcy, o którym nie usłyszymy nigdy. Chyba że pojawią się ślady domniemanego naruszenia, jak teraz w Luizjanie. Ten sam schemat opisywaliśmy przy wycieku danych z systemu MyDr, gdzie pacjenci nie byli klientami firmy, która dane straciła.
Przy okazji warto sprostować przekonanie, które krąży od lat. Sam skan dowodu osobistego nie jest zakazany, a ustawa o dokumentach publicznych karze co innego. Jej artykuł 58 karze wytwarzanie, oferowanie, zbywanie i przechowywanie w celu zbycia repliki dokumentu publicznego. Repliką jest przy tym odwzorowanie wielkości od 75 do 120 procent oryginału, mające cechy autentyczności. Kserokopia i wydruk komputerowy są z tej definicji wyłączone, o ile służą celom urzędowym, służbowym albo zawodowym wynikającym z odrębnych przepisów, albo powstały na użytek właściciela dokumentu. To nie przesądza jednak, czy dana firma ma prawo taki skan gromadzić. Ta ocena zależy od podstawy prawnej, celu i zakresu danych.
Dwie rzeczy da się zrobić bez czekania na cokolwiek. Pierwsza to zastrzeżenie numeru PESEL. Warto przy tym wiedzieć, że zastrzeżenie dowodu i jego unieważnienie to dwie różne sprawy. Druga dotyczy firm. Jeśli prowadzisz działalność i trzymasz u siebie skan dowodu osobistego klienta, to przy wycieku zegar 72 godzin biegnie tobie, nie twojemu dostawcy oprogramowania.
Serwis zniknął tego samego wieczoru. Nie wiadomo, co z danymi
Wieczorem 1 września, krótko po opisaniu sprawy, strona logowania Nexusa zamieniła się w jedno zdanie o tym, że usługa nie jest już dostępna. Tego samego dnia biuro FBI w Nowym Orleanie wszczęło oficjalne śledztwo w sprawie domniemanego naruszenia u idscan.net. W zbiorze były prawa jazdy wysokich urzędników, w tym sekretarza obrony i zastępcy dyrektora FBI, co zapewne przyspieszyło reakcję.
Firma do tej pory nie wydała oświadczenia. Na pytania odpowiedziała zdaniem, że nie może na razie podzielić się dodatkowymi informacjami, a przekazane jej ustalenia są pomocne w jej własnym postępowaniu. To nie jest ani przyznanie, ani zaprzeczenie, i tak trzeba to czytać.
Zniknięcie serwisu jest przy tym najmniej istotnym elementem układanki. Sprzedający chwalił się, że wyprowadza dane nieprzerwanie od ponad roku. Usunięcie strony nie dowodzi, że kopie danych przestały istnieć. Jeśli źródło nadal działa, serwis może wrócić pod inną nazwą. Zamknięta witryna to nie jest koniec sprawy, tylko koniec jej widocznej części.
Podsumowanie
Serwis Nexus wystawił pod koniec sierpnia na sprzedaż ponad 153 miliony skanów praw jazdy z USA i Kanady oraz kilkanaście milionów innych dokumentów. Zbiór nie obejmuje Polski ani Europy. Pierwszy trop podparło dziewięć osób, które potwierdziły podróże zgodne ze znacznikami czasu. Drugi dostarczył badacz prywatności, który trafił na siebie w tej samej bazie. Oba wskazały tę samą firmę z Nowego Orleanu. Firma nie potwierdziła naruszenia, a FBI bada je jako domniemane. Wartość tej sprawy dla czytelnika w Polsce leży w mechanizmie, nie w zasięgu. Obraz dokumentu gromadzi się u podwykonawcy, którego nazwy nie znamy. Jedno włamanie w takim miejscu daje dorobek tysięcy lad naraz. Hasło można zmienić w minutę. Dokument można unieważnić i wyrobić nowy, ale raz wykradzionego skanu i wizerunku nie da się wycofać z obiegu.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
