Pokazałeś dokument w hotelu lub wypożyczalni? Jego kopia może być na sprzedaż

Przy meldowaniu się w hotelu albo odbieraniu samochodu z wypożyczalni pokazujemy dokument i po chwili zazwyczaj o tym fakcie zapominamy. Problem jednak w tym, że ktoś inny mógł o nim pamiętać znacznie dłużej. W darknecie pojawiła się usługa oferująca dostęp do ponad 153 mln skanów praw jazdy z USA i Kanady, a ślady prowadzą do firmy obsługującej weryfikację tożsamości w tysiącach punktów. FBI już bada sprawę.

Serwis nazwany Nexus pojawił się pod koniec sierpnia na rosyjskojęzycznym forum cyberprzestępczym Exploit. Jego operatorzy twierdzą, że zgromadzili skany dokumentów ponad 170 mln osób, a największą część kolekcji stanowi ponad 153 mln amerykańskich i kanadyjskich praw jazdy.

Do tego dochodzi ponad 10 mln innych dokumentów tożsamości, przeszło 3 mln dokumentów podróży lub zagranicznych ID oraz co najmniej 579 tys. kart medycznych. Pusta wyszukiwarka Nexusa zwracała około 11,5 mln stron po mniej więcej 15 rekordów każda, a w ciągu jednej doby liczba oferowanych praw jazdy wzrosła o prawie 400 tys.

W niektórych rekordach znajdował się nie tylko zwykły skan przodu i tyłu dokumentu. Dostępne były również fotografie wykonane w świetle podczerwonym i ultrafioletowym, czyli dokładnie takie materiały, jakie tworzą profesjonalne urządzenia sprawdzające autentyczność dokumentów.

Źródła nie trzeba było szukać wyłącznie po adresach IP czy fragmentach kodu. Pomogły przede wszystkim daty zapisane przy samych zdjęciach. Kilka osób odnalazło w bazie własne prawa jazdy i porównało znaczniki czasu z tym, co robiły danego dnia.

W wielu przypadkach ślad prowadził do wypożyczalni samochodów Hertz. U innych dokument został zeskanowany podczas wejścia do sklepu z marihuaną w Las Vegas. Wspólnym mianownikiem okazał się IDScan.net – dostawca systemów do weryfikacji dokumentów, którego technologia jest używana m.in. przez wypożyczalnie, hotele, kasyna, sklepy i firmy wymagające potwierdzenia wieku klienta.

Firma sama chwali się zresztą wykonywaniem ponad 21 mln weryfikacji miesięcznie w ponad 20 tys. lokalizacji na świecie. Jej system może zachowywać zdjęcia dokumentu, wyciętą fotografię twarzy oraz skany przedniej i tylnej strony, a domyślne ustawienia części produktów przewidują gromadzenie danych, dopóki klient nie skonfiguruje innej polityki retencji.

IDScan.net nie potwierdził jeszcze, że to właśnie z jego systemów wyprowadzono 153 mln dokumentów. Firma uruchomiła jednak procedury reagowania na incydent, rozpoczęła wewnętrzne dochodzenie i współpracuje z organami ścigania. FBI w Nowym Orleanie wszczęło oficjalne postępowanie dotyczące możliwego naruszenia związanego z IDScan.net.

Taki dokument jest znacznie bardziej wartościowy, niż lista adresów e-mail i haseł. Zawiera ona przede wszystkim nasze prawdziwe zdjęcie twarzy, imię i nazwisko, datę urodzenia, adres, numer dokumentu, datę ważności, podpis i inne informacje, które można wykorzystać podczas prób przejęcia tożsamości.

Jeszcze gorzej, że właśnie skan dowodu lub prawa jazdy jest coraz częściej wymagany do potwierdzenia, że użytkownik jest tym, za kogo się podaje. Przestępca dostający prawdziwe zdjęcia obu stron dokumentu otrzymuje więc jeden z elementów służących do przechodzenia procedur, które miały przed nim chronić.

W bazie znaleziono nawet dokumenty wysokich rangą przedstawicieli amerykańskich władz. Wśród nich jest prawo jazdy sekretarza obrony USA, a śledczy mieli również znaleźć dane jednego z wysokich rangą funkcjonariuszy FBI.

Na razie nie ma żadnego dowodu na to, że Nexus zawiera masowo polskie dokumenty. Potwierdzone 153 mln rekordów dotyczy przede wszystkim praw jazdy mieszkańców USA i Kanady, dlatego na tę chwilę nie ma podstaw, by straszyć, że wyciekła baza polskich kierowców.

Sprawa nie jest jednak całkowicie obojętna dla osób z Polski. Nexus deklarował posiadanie ponad 3 mln dokumentów podróży i zagranicznych dokumentów tożsamości, natomiast system IDScan.net potrafi przetwarzać polskie dowody osobiste, prawa jazdy i paszporty. Jeśli podczas pobytu w Ameryce dokument został nie tylko obejrzany przez pracownika, lecz również włożony do profesjonalnego skanera, ryzyka nie można dziś wykluczyć.

Przeczytaj także:

Nie istnieje jeszcze oficjalna wyszukiwarka pozwalająca sprawdzić, czy konkretny dokument znalazł się w zbiorze. Co więcej, chwilę po nagłośnieniu sprawy Nexus zniknął z darknetu, ale nie oznacza to usunięcia danych. Przy takiej skali kopie mogą wrócić w innym miejscu albo zostać sprzedane wcześniej.

Hasło można zmienić w minutę, numer karty zastrzec, a konto zabezpieczyć nowym kluczem. Twarzy, daty urodzenia i danych wydrukowanych na dokumencie nie wymienia się równie łatwo. A przez lata rozdawaliśmy ich cyfrowe kopie praktycznie wszędzie, gdzie ktoś postawił na ladzie skaner.