Tumeveebis müüakse ligipääsu enam kui 153 miljonile juhiloa skaneeringule

Tumeveebis tegutsev teenus Nexus pakub juurdepääsu andmebaasile, mis sisaldab üle 153 miljoni juhiloa skaneeringu ja miljoneid muid isikut tõendavaid dokumente. USA Föderaalne Juurdlusbüroo alustas 1. septembril ametlikku uurimist võimaliku andmelekke kohta, mis puudutab isikutuvastusteenuseid pakkuvat ettevõtet IDScan.net.

Venekeelses küberkuritegevuse foorumis Exploit 31. augustil reklaamitud Nexuse andmebaasis on lisaks juhilubadele üle kümne miljoni muu isikut tõendava dokumendi, rohkem kui kolm miljonit reisidokumenti või rahvusvahelist isikut tõendavat dokumenti ning vähemalt 579 000 meditsiinikaarti.

Küberturvalisuse ekspert Brian Krebs käivitas Nexuses otsingu ilma otsingutingimusi määramata ning sai tulemuseks umbes 11,5 miljonit lehekülge, millest igaühel oli ligikaudu 15 kirjet. See toetab väidet, et andmebaasis on üle 153 miljoni juhiloa skaneeringu. 24 tunni jooksul kasvas kirjete arv ligi 400 000 võrra. Nexus ise väidab, et on juba üle aasta pidevalt uusi andmeid oma andmebaasi kopeerinud, kuid selle puhul võib olla tegemist ka lihtsalt teenuse reklaamiga.

Krebs suutis kinnitada, et andmebaasis oli ka tema enda Virginia juhiluba. Ta otsis ka enam kui tosina sõbra ja sugulase loal nende dokumente ning leidis andmebaasist samuti vasteid. Üheksa inimese puhul langesid kirjetele lisatud ajatemplid kokku nende reiside ajaga või jäid sellele väga lähedale.

Krebsi ja tema ema dokumentide ajatemplid langesid kokku ajaga, mil nad 2025. aasta juunis Hertzist auto rentisid. Mõlema kirjed loodi vaid mõnesekundilise vahega. See vastas nende kirjeldusele, et nad andsid juhiload rendiettevõtte töötajale korraga. Krebsi kirjes oli juhiloa esi- ja tagaküljest kolm pildipaari, mis olid tehtud nähtavas valguses ning infrapuna- ja ultraviolettvalguses.

Andmekaitseekspert Zach Edwards leidis Nexusest samuti oma juhiloa. Selle ajatempel langes kokku Las Vegase reisi ajaga, mille jooksul ta oli dokumenti näidanud lennujaama turvakontrollis TSA-le, Aria hotellis ja Planet13 kanepimüügikohas. Edwardsi sõnul teadis ta kindlalt, et neist kolmest kohast skaneeriti tema juhiluba ainult Planet13-s.

Louisianas asuv IDScan.net sõlmis 2022. aastal Planet13-ga eksklusiivse lepingu isikutuvastusteenuse osutamiseks. Ettevõtte teatel kasutatakse selle tehnoloogiat enam kui 20 000 asukohas ning selle süsteemidega tehakse kuus üle 21 miljoni isikusamasuse kontrolli. IDScan.net nimetab oma klientide või tehnoloogia kasutajate hulgas muu hulgas Hertzi, FedExi, Caesars Entertainmenti, Motorola Solutionsi ja Jack Henryt. See ei tähenda tingimata, et kõik need ettevõtted kasutavad just neid isikutuvastusfunktsioone, mida võimaliku lekkega seostatakse.

IDScan.net-i esindaja Jillian Kossman ütles Krebsile, et ettevõte ei saa praegu täiendavat teavet jagada, kuid tema edastatud andmed on olnud uurimisel abiks. Nexuse andmete hulgast leiti ka USA kaitseministri Pete Hegsethi ja ühe FBI abidirektori juhiload.

Andmeleke võib puudutada ka eestlasi, sest IDScan.net-i tehnoloogia toetab Eesti ID-kaartide, juhilubade ja passide töötlemist ning lekkinud andmete hulgas on väidetavalt üle kolme miljoni reisidokumendi või rahvusvahelise isikut tõendava dokumendi.

Juhtum asetub laiemasse konteksti, kus valitsused survestavad ettevõtteid koguma kasutajatelt üha sagedamini isikut tõendavaid dokumente, sealhulgas internetis vanuse ja isikusamasuse kontrollimiseks. Nexuse andmebaas toob esile privaatsusriski, mis tekib siis, kui inimestelt nõutakse üha sagedamini dokumentide skaneerimist ja nende andmete edastamist kolmandatele osapooltele.