IDScan підтвердила витік даних із 150 млн водійських прав

IDScan визнала злам після повідомлень про атаку, що могла тривати близько року. Серед викраденого — імена, номери прав і дані з паспортів.

IDScan, сервіс перевірки документів, підтвердив витік даних зі своїх систем після повідомлень про злам, який, за попередніми даними, тривав близько року. Компанія заявила, що хакери викрали водійські посвідчення з її хмарного сховища, а разом із ними — імена, номери прав та інші ідентифікаційні дані з державних документів, зокрема паспортів.

Історія привернула увагу не лише можливим масштабом витоку. IDScan працює з документами людей у різних сферах — від розважальних майданчиків до магазинів канабісу, де перевірка особи є частиною щоденних процедур. Тож під питанням опинилися дані клієнтів, які проходили таку перевірку через сервіс.

IDScan уперше прямо підтвердила злам

У повідомленні на своєму сайті компанія вперше прямо визнала інцидент. Ще минулого тижня IDScan заявляла лише про перевірку можливого зламу і не підтверджувала проникнення в системи.

За словами компанії, вона «отримала інформацію» приблизно 1 вересня про заяву щодо хакерської атаки. Це сталося того ж дня, коли незалежний журналіст з кібербезпеки Brian Krebs уперше повідомив про витік в IDScan.

Компанія додала, що розслідування триває.

Які саме дані могли викрасти

IDScan повідомила, що з її хмари викрали водійські посвідчення. Серед даних, які могли бути скомпрометовані, — повні імена людей, номери водійських прав і номери з інших державних документів, таких як паспорти.

Окремо компанія вказала, що на її сайті зберігається понад 150 мільйонів записів водійських прав. Водночас вона не уточнила, скільки саме людей постраждали від цього інциденту.

Як пишуть Новини IT-PUB, саме цей масштаб став однією з причин швидкого розголосу. Йдеться не про локальний збій, а про потенційний доступ до великого масиву документів, які використовуються для підтвердження особи.

Матеріал Brian Krebs вивів історію в публічну площину

Поштовхом до розголосу став матеріал Brian Krebs. Він написав, що його повідомили про сайт у dark web, де будь-хто міг шукати дані водійських прав понад 150 мільйонів людей у США та Канаді, включно з доступом до їхніх фотографій.

Krebs також повідомив, що перевірив справжність даних на власному записі. У цій базі, за його словами, були й відомі особи, зокрема міністр оборони США Pete Hegseth, а також дослідник безпеки, який теж підтвердив свої дані для матеріалу Krebs.

Після цього про підозрюваний злам заявили й інші сторони. Минулого тижня Пентагон сказав TechCrunch, що йому відомо про ймовірний витік, а представник FBI повідомив, що бюро також розслідує інцидент.

IDScan попереджає людей через сайт

У своєму повідомленні IDScan пояснила, що публікує попередження на сайті, аби повідомити людей, яких це може стосуватися. Компанія при цьому зазначила, що «хоча повний доступ до інформації вимагав оплати» — імовірно, маючи на увазі вимогу грошей від хакерів за доступ до повного масиву викрадених даних.

При цьому IDScan не уточнила, чи справді зловмисники контактували з нею напряму і чи йшлося про викуп. На запит TechCrunch компанія також не відповіла.

Саме ця невизначеність робить ситуацію особливо тривожною для бізнесу та користувачів. Якщо витік справді охоплює такі обсяги даних, це створює ризики не лише для приватності, а й для зловживань документами, які люди використовують для доступу до послуг і підтвердження віку чи особи.

Витік зачіпає і клієнтів сервісу, і людей з документами в системі

Історія IDScan показує, наскільки вразливими можуть бути сервіси, що зберігають копії документів для перевірки клієнтів. Для бізнесу такі інструменти зручні, бо спрощують контроль доступу та ідентифікацію. Але якщо сам сервіс стає мішенню, під ударом опиняються не лише компанії-клієнти, а й люди, чиї документи проходили через систему.

У цьому випадку джерело не дає відповіді на всі запитання: скільки саме записів викрали, чи вимагали хакери викуп і чи всі дані вже з’явилися в мережі. Але навіть наявної інформації достатньо, щоб оцінити серйозність інциденту. Для користувачів це означає ризик втрати контролю над чутливими документами, а для компаній — ще одне нагадування, що перевірка особи через сторонні платформи потребує особливої обережності.