Op het dark web is de dienst Nexus verschenen, die digitale scans van meer dan 153 miljoen rijbewijzen uit de Verenigde Staten en Canada aanbiedt, naast miljoenen andere identificatiekaarten en reisdocumenten. Uit onderzoek van KrebsOnSecurity blijkt dat de data waarschijnlijk is afgetapt van idscan.net, een identiteitsverificatiebedrijf dat diensten levert aan grote organisaties zoals Hertz, Target en diverse cannabisdispensaria.
Het lek is bijzonder ernstig omdat de dataset niet alleen scans bevat, maar ook infrarode en ultraviolette versies van de documenten, voorzien van exacte tijdstempels. De FBI in New Orleans is een officieel onderzoek gestart, mede nadat bleek dat zelfs gegevens van de assistent-directeur van de FBI werden aangeboden. Experts waarschuwen voor grote risico's op kredietfraude en privacy-schendingen voor kwetsbare personen. Kort na de publicatie van het artikel is de Nexus-dienst offline gegaan.
FBI onderzoekt dienst die meer dan 153 miljoen rijbewijzen verkoopt
Een nieuwe dienst voor identiteitsfraude is deze week gelanceerd op het dark web. De dienst verkoopt digitale scans van meer dan 153 miljoen rijbewijzen van mensen uit de Verenigde Staten en Canada. Op basis van interviews met personen wiens rijbewijzen te koop worden aangeboden, lijkt het erop dat de beelden worden afgetapt van een veelgebruikt identiteitsverificatiebedrijf dat is gevestigd in Louisiana. KrebsOnSecurity heeft vernomen dat het FBI-veldkantoor in New Orleans vandaag een officieel onderzoek is gestart naar de bron van de afbeeldingen.
De ontdekking van Nexus
Op maandag 31 augustus wees een bron KrebsOnSecurity op een dienst die werd geadverteerd door een nieuwe gebruiker op het Russische cybercrimeforum Exploit. Deze gebruiker bood toegang tot digitale scans van identiteitsbewijzen van meer dan 170 miljoen mensen in Noord-Amerika. De bron bracht dit onder mijn aandacht omdat de eigenaar van deze dienst mijn eigen rijbewijs uit Virginia als gratis voorbeeld aanbood in de initiële verkoopdraad op Exploit.
De dienst, genaamd Nexus, claimt over de volgende gegevens te beschikken:
- Meer dan 153 miljoen rijbewijzen uit de Verenigde Staten en Canada;
- Meer dan 10 miljoen identificatiekaarten;
- Meer dan drie miljoen reisdocumenten en/of internationale ID's;
- Ten minste 579.000 medische kaarten.
Een snelle controle in Nexus suggereert dat het aantal van 153 miljoen niet overdreven is. Een zoekopdracht zonder parameters levert ongeveer 11,5 miljoen pagina's met resultaten op, met ongeveer 15 resultaten per pagina. Hoewel er documenten uit zowel Canada als de Verenigde Staten aanwezig zijn, gaat het grootste deel om Amerikanen. Een zoekopdracht naar enkel Canadese rijbewijzen levert ongeveer 1,1 miljoen resultaten op, met de grootste concentratie in Ontario (473.673 records).
De aard van de gestolen gegevens
Opvallend is dat de identiteitsgegevens niet alleen rijbewijzen bevatten, maar ook kaarten voor cannabisdispensaria. Sommige records vermelden als "bron" de term CDL, vermoedelijk een afkorting voor commercial drivers license (commercieel rijbewijs). Andere records bevatten de bronnotatie CAC, wat kan verwijzen naar Common Access Cards; door de overheid uitgegeven identiteitskaarten die fysieke toegang verlenen tot overheidsgebouwen en beveiligde ruimtes.
De mensen achter Nexus beweren dat de beelden afkomstig zijn van een actieve inbreuk bij "een groot identiteitsverificatiebedrijf" waarvan meerdere Fortune 500-bedrijven klant zijn.
In een introductiebericht op Exploit meldt de dienst: "We exfiltreren al meer dan een jaar continu nieuwe data naar onze private database. Records zijn beschikbaar voor preview vóór aankoop, waarbij relevante informatie is geanonimiseerd. Foto's van klanten worden getoond indien beschikbaar."
In de afgelopen 24 uur is het aantal beschikbare rijbewijzen in Nexus met bijna 400.000 toegenomen. Dit suggereert dat vers gestolen rijbewijsdata regelmatig wordt geoogst en geüpload naar de dienst.
Het opsporen van de bron
Het record van mijn eigen rijbewijs bevat zes beeldbestanden: drie paren foto's van de voor- en achterkant, een basisscan, en infrarode en ultraviolette versies van dezelfde beelden. Aan elk beeldbestand is een datum en tijdstempel toegevoegd. De tijdstempel op mijn scan komt overeen met een datum in juni 2025, toen ik een vlucht nam naar het middenwesten van de Verenigde Staten voor een familiebegrafenis.
Om de bron van deze data te achterhalen, vroeg KrebsOnSecurity aan meer dan een dozijn vrienden en familieleden om toestemming hun rijbewijzen in deze dienst te zoeken. Elke persoon wiens rijbewijs werd gevonden (negen personen), bevestigde dat zij hadden gereisd op of zeer dicht bij de datums in de tijdstempels van hun beelden. Uit onderzoek van autohuurgegevens blijkt dat de tijdzone is ingesteld op Greenwich Mean Time (GMT).
Aanvankelijk werd gedacht dat de bron te maken had met luchthavens, maar deze theorie werd verworpen omdat er geen paspoorten in de dataset zaten. Bovendien gaven slechts enkele personen aan hun rijbewijs op de luchthaven te hebben getoond. Eén persoon wiens rijbewijs in Nexus stond, had recentelijk helemaal niet gevlogen, maar huurde wel gedurende enkele maanden een auto bij Hertz rond de datum van de tijdstempel.
Twee federale werknemers die hielpen bij het onderzoek, gaven aan andere vormen van overheids-ID te gebruiken bij de luchthavenbeveiliging, maar hun rijbewijzen later die dag te hebben overhandigd bij het huren van voertuigen bij Hertz op hun bestemming.
Ik herinnerde me dat ik op de dag van mijn vlucht in juni 2025 mijn paspoort gebruikte bij de beveiliging op Reagan National Airport, omdat ik toen nog geen Real ID had. De enige plek waar ik mijn rijbewijs overhandigde, was bij het autoverhuurbedrijf. Mijn moeder's rijbewijs was ook te vinden in de dienst, en de tijdstempels van haar beelden liggen slechts enkele seconden uit elkaar met die van mij. Wij hebben onze rijbewijzen namelijk tegelijkertijd aan de medewerker van Hertz gegeven.
De link met idscan.net
Beveiligingsonderzoeker Zach Edwards ontdekte dat ook een scan van zijn rijbewijs te koop was. De tijdstempel komt overeen met een reis naar Las Vegas voor de DEFCON-conferentie. Edwards gaf aan dat hij geen auto huurde, maar zijn rijbewijs wel overhandigde bij de TSA-controle, in een cannabisdispensary en in zijn hotel (de Aria). Hij stelde dat van deze drie enkel de dispensary zijn ID zeker in een apparaat heeft gescand.
De dispensary die hij bezocht was Planet13. In 2022 publiceerde het in New Orleans gevestigde identiteitsbedrijf idscan.net een persbericht waarin een exclusieve overeenkomst voor identiteitsverificatie met de dispensaria van Planet13 werd aangekondigd. IdScan verklaart identiteitsverificaties uit te voeren voor meer dan 1.000 cannabisdispensaria in 19 Amerikaanse staten.
Op de "trust"-pagina van idscan.net staat dat het bedrijf verificatiediensten levert voor diverse grote merken, waaronder:
- Hertz
- Target
- FedEx
- Motorola Solutions
- Jack Henry
- Caesars Entertainment
Volgens de eigen documentatie van idscan.net scant de technologie ID's met zowel infrarood als ultraviolet licht. Het bedrijf voert maandelijks meer dan 21 miljoen verificaties uit op meer dan 20.000 locaties wereldwijd.
Na contact door KrebsOnSecurity liet idscan.net weten dat het bedrijf de zaak onderzoekt, maar er is nog geen officieel statement of inhoudelijke reactie gegeven op specifieke vragen. Jillian Kossman, marketing- en operationsleider bij idscan.net, schreef: "Op dit moment kan ik geen aanvullende informatie delen, maar de updates die u heeft verstrekt zijn welkom en behulpzaam voor het onderzoek van ons team."
Het onderzoek van de FBI
Tijdens het onderzoek werd de FBI op de hoogte gebracht van de situatie. Dit gebeurde waarschijnlijk toen ik met een vertrouwde bron deelbeelde dat Nexus ook rijbewijzigegevens van de assistent-directeur van de FBI verkoopt.
Ik ben vervolgens toegevoegd aan een conferentiegesprek met een halfdozijn FBI-agenten, waaronder senior leiders van de cyberdivisie. Tijdens dit gesprek deelde de FBI mee dat hun veldkantoor in New Orleans vandaag een officieel onderzoek is gestart naar een vermoedelijke inbreuk waarbij idscan.net betrokken is.
Beveiligingsrisico's en privacy
Zach Edwards stelt dat leveranciers die dergelijke gevoelige gegevens verzamelen, aan een hogere standaard moeten worden gehouden. "Deze systemen plaatsen gevoelige data bij steeds meer externe leveranciers, en we hebben bij lange na niet genoeg toezicht om te garanderen dat ze veilig zijn," aldus Edwards.
Larry Baldwin, principal intelligence researcher bij cybersecurityfirm Cybera, merkte op dat een scan van zijn eigen rijbewijs in Nexus tijdstempels bevat die overeenkomen met een huurauto bij Hertz tijdens een recente vakantie. Baldwin waarschuwt voor ernstige veiligheids- en privacyrisico's:
- Kredietfraude: Rijbewijzen worden vaak gebruikt als identiteitsbewijs bij het openen van nieuwe kredietlijnen.
- Veiligheid van kwetsbaren: De data kan mensen blootstellen die niet gevonden willen worden, zoals mensen die vluchten voor huiselijk geweld of personen in het getuigenbeschermingsprogramma van de federale overheid.
"Net wanneer het lijkt alsof we vooruitgang boeken in het verbeteren van authenticatiecontroles via rijbewijzenverificatiesystemen, gebeurt dit en worden juist de zaken waarop die verbeteringen rusten, gecompromitteerd," aldus Baldwin.
***
Update, 20:56 ET: Kort na publicatie van dit artikel is de website van de Nexus-dienst verdwenen uit het darkweb. De inlogpagina is vervangen door een eenvoudige tekstmelding: "This service is no longer available."
FBI onderzoekt dienst die meer dan 153 miljoen rijbewijzen verkoopt
Een nieuwe dienst voor identiteitsfraude is deze week gelanceerd op het dark web. De dienst verkoopt digitale scans van meer dan 153 miljoen rijbewijzen van mensen uit de Verenigde Staten en Canada. Op basis van interviews met personen wiens rijbewijzen te koop worden aangeboden, lijkt het erop dat de beelden worden afgetapt van een veelgebruikt identiteitsverificatiebedrijf dat is gevestigd in Louisiana. KrebsOnSecurity heeft vernomen dat het FBI-veldkantoor in New Orleans vandaag een officieel onderzoek is gestart naar de bron van de afbeeldingen.
De ontdekking van Nexus
Op maandag 31 augustus wees een bron KrebsOnSecurity op een dienst die werd geadverteerd door een nieuwe gebruiker op het Russische cybercrimeforum Exploit. Deze gebruiker bood toegang tot digitale scans van identiteitsbewijzen van meer dan 170 miljoen mensen in Noord-Amerika. De bron bracht dit onder mijn aandacht omdat de eigenaar van deze dienst mijn eigen rijbewijs uit Virginia als gratis voorbeeld aanbood in de initiële verkoopdraad op Exploit.
De dienst, genaamd Nexus, claimt over de volgende gegevens te beschikken:
- Meer dan 153 miljoen rijbewijzen uit de Verenigde Staten en Canada;
- Meer dan 10 miljoen identificatiekaarten;
- Meer dan drie miljoen reisdocumenten en/of internationale ID's;
- Ten minste 579.000 medische kaarten.
Een snelle controle in Nexus suggereert dat het aantal van 153 miljoen niet overdreven is. Een zoekopdracht zonder parameters levert ongeveer 11,5 miljoen pagina's met resultaten op, met ongeveer 15 resultaten per pagina. Hoewel er documenten uit zowel Canada als de Verenigde Staten aanwezig zijn, gaat het grootste deel om Amerikanen. Een zoekopdracht naar enkel Canadese rijbewijzen levert ongeveer 1,1 miljoen resultaten op, met de grootste concentratie in Ontario (473.673 records).
De aard van de gestolen gegevens
Opvallend is dat de identiteitsgegevens niet alleen rijbewijzen bevatten, maar ook kaarten voor cannabisdispensaria. Sommige records vermelden als "bron" de term CDL, vermoedelijk een afkorting voor commercial drivers license (commercieel rijbewijs). Andere records bevatten de bronnotatie CAC, wat kan verwijzen naar Common Access Cards; door de overheid uitgegeven identiteitskaarten die fysieke toegang verlenen tot overheidsgebouwen en beveiligde ruimtes.
De mensen achter Nexus beweren dat de beelden afkomstig zijn van een actieve inbreuk bij "een groot identiteitsverificatiebedrijf" waarvan meerdere Fortune 500-bedrijven klant zijn.
In een introductiebericht op Exploit meldt de dienst: "We exfiltreren al meer dan een jaar continu nieuwe data naar onze private database. Records zijn beschikbaar voor preview vóór aankoop, waarbij relevante informatie is geanonimiseerd. Foto's van klanten worden getoond indien beschikbaar."
In de afgelopen 24 uur is het aantal beschikbare rijbewijzen in Nexus met bijna 400.000 toegenomen. Dit suggereert dat vers gestolen rijbewijsdata regelmatig wordt geoogst en geüpload naar de dienst.
Het opsporen van de bron
Het record van mijn eigen rijbewijs bevat zes beeldbestanden: drie paren foto's van de voor- en achterkant, een basisscan, en infrarode en ultraviolette versies van dezelfde beelden. Aan elk beeldbestand is een datum en tijdstempel toegevoegd. De tijdstempel op mijn scan komt overeen met een datum in juni 2025, toen ik een vlucht nam naar het middenwesten van de Verenigde Staten voor een familiebegrafenis.
Om de bron van deze data te achterhalen, vroeg KrebsOnSecurity aan meer dan een dozijn vrienden en familieleden om toestemming hun rijbewijzen in deze dienst te zoeken. Elke persoon wiens rijbewijs werd gevonden (negen personen), bevestigde dat zij hadden gereisd op of zeer dicht bij de datums in de tijdstempels van hun beelden. Uit onderzoek van autohuurgegevens blijkt dat de tijdzone is ingesteld op Greenwich Mean Time (GMT).
Aanvankelijk werd gedacht dat de bron te maken had met luchthavens, maar deze theorie werd verworpen omdat er geen paspoorten in de dataset zaten. Bovendien gaven slechts enkele personen aan hun rijbewijs op de luchthaven te hebben getoond. Eén persoon wiens rijbewijs in Nexus stond, had recentelijk helemaal niet gevlogen, maar huurde wel gedurende enkele maanden een auto bij Hertz rond de datum van de tijdstempel.
Twee federale werknemers die hielpen bij het onderzoek, gaven aan andere vormen van overheids-ID te gebruiken bij de luchthavenbeveiliging, maar hun rijbewijzen later die dag te hebben overhandigd bij het huren van voertuigen bij Hertz op hun bestemming.
Ik herinnerde me dat ik op de dag van mijn vlucht in juni 2025 mijn paspoort gebruikte bij de beveiliging op Reagan National Airport, omdat ik toen nog geen Real ID had. De enige plek waar ik mijn rijbewijs overhandigde, was bij het autoverhuurbedrijf. Mijn moeder's rijbewijs was ook te vinden in de dienst, en de tijdstempels van haar beelden liggen slechts enkele seconden uit elkaar met die van mij. Wij hebben onze rijbewijzen namelijk tegelijkertijd aan de medewerker van Hertz gegeven.
De link met idscan.net
Beveiligingsonderzoeker Zach Edwards ontdekte dat ook een scan van zijn rijbewijs te koop was. De tijdstempel komt overeen met een reis naar Las Vegas voor de DEFCON-conferentie. Edwards gaf aan dat hij geen auto huurde, maar zijn rijbewijs wel overhandigde bij de TSA-controle, in een cannabisdispensary en in zijn hotel (de Aria). Hij stelde dat van deze drie enkel de dispensary zijn ID zeker in een apparaat heeft gescand.
De dispensary die hij bezocht was Planet13. In 2022 publiceerde het in New Orleans gevestigde identiteitsbedrijf idscan.net een persbericht waarin een exclusieve overeenkomst voor identiteitsverificatie met de dispensaria van Planet13 werd aangekondigd. IdScan verklaart identiteitsverificaties uit te voeren voor meer dan 1.000 cannabisdispensaria in 19 Amerikaanse staten.
Op de "trust"-pagina van idscan.net staat dat het bedrijf verificatiediensten levert voor diverse grote merken, waaronder:
- Hertz
- Target
- FedEx
- Motorola Solutions
- Jack Henry
- Caesars Entertainment
Volgens de eigen documentatie van idscan.net scant de technologie ID's met zowel infrarood als ultraviolet licht. Het bedrijf voert maandelijks meer dan 21 miljoen verificaties uit op meer dan 20.000 locaties wereldwijd.
Na contact door KrebsOnSecurity liet idscan.net weten dat het bedrijf de zaak onderzoekt, maar er is nog geen officieel statement of inhoudelijke reactie gegeven op specifieke vragen. Jillian Kossman, marketing- en operationsleider bij idscan.net, schreef: "Op dit moment kan ik geen aanvullende informatie delen, maar de updates die u heeft verstrekt zijn welkom en behulpzaam voor het onderzoek van ons team."
Het onderzoek van de FBI
Tijdens het onderzoek werd de FBI op de hoogte gebracht van de situatie. Dit gebeurde waarschijnlijk toen ik met een vertrouwde bron deelbeelde dat Nexus ook rijbewijzigegevens van de assistent-directeur van de FBI verkoopt.
Ik ben vervolgens toegevoegd aan een conferentiegesprek met een halfdozijn FBI-agenten, waaronder senior leiders van de cyberdivisie. Tijdens dit gesprek deelde de FBI mee dat hun veldkantoor in New Orleans vandaag een officieel onderzoek is gestart naar een vermoedelijke inbreuk waarbij idscan.net betrokken is.
Beveiligingsrisico's en privacy
Zach Edwards stelt dat leveranciers die dergelijke gevoelige gegevens verzamelen, aan een hogere standaard moeten worden gehouden. "Deze systemen plaatsen gevoelige data bij steeds meer externe leveranciers, en we hebben bij lange na niet genoeg toezicht om te garanderen dat ze veilig zijn," aldus Edwards.
Larry Baldwin, principal intelligence researcher bij cybersecurityfirm Cybera, merkte op dat een scan van zijn eigen rijbewijs in Nexus tijdstempels bevat die overeenkomen met een huurauto bij Hertz tijdens een recente vakantie. Baldwin waarschuwt voor ernstige veiligheids- en privacyrisico's:
- Kredietfraude: Rijbewijzen worden vaak gebruikt als identiteitsbewijs bij het openen van nieuwe kredietlijnen.
- Veiligheid van kwetsbaren: De data kan mensen blootstellen die niet gevonden willen worden, zoals mensen die vluchten voor huiselijk geweld of personen in het getuigenbeschermingsprogramma van de federale overheid.
"Net wanneer het lijkt alsof we vooruitgang boeken in het verbeteren van authenticatiecontroles via rijbewijzenverificatiesystemen, gebeurt dit en worden juist de zaken waarop die verbeteringen rusten, gecompromitteerd," aldus Baldwin.
***
Update, 20:56 ET: Kort na publicatie van dit artikel is de website van de Nexus-dienst verdwenen uit het darkweb. De inlogpagina is vervangen door een eenvoudige tekstmelding: "This service is no longer available."
Groetjes,