IDScan.net ihlali doğruladı: 153 milyon kimlik taraması

Yaş ve kimlik denetimi yazılımı mağazalarda, araç kiralama gişelerinde ve esrar dükkanlarında resmi kimlikleri okuyan Louisiana merkezli IDScan.net, bulutundaki müşteri hesaplarında tutulan verilere yetkisiz bir üçüncü tarafın ulaşmış olabileceğini doğruladı. Şirket, 4 Eylül tarihli bildiriminde saldırganın “IDScan.net bulutundaki hesaplarında saklanan bazı müşteri bilgilerine erişmiş ve/veya bunları kopyalamış olabileceğini” belirtti ve söz konusu verileri tam isimler ile ehliyet ya da diğer resmi kimlik belgesi numaraları olarak tanımladı. Olası yetkisiz erişimi 1 Eylül civarında öğrendiğini, etkilenmiş olabilecek kayıtların ise bu tarihten önce sisteme giren kayıtlar olduğunu açıkladı.

Bildirim, 1 Eylül’de kamuoyuna yansıyan bir karanlık ağ ilanının ardından geldi. Güvenlik gazetecisi Brian Krebs o gün, Rusça siber suç forumu Exploit’te yeni bir kullanıcının tanıttığı Nexus adlı kimlik hırsızlığı servisinin, 153 milyondan fazla olduğunu öne sürdüğü ABD ve Kanada ehliyet taramasına — ayrıca kimlik kartları, seyahat belgeleri ve sağlık kartlarına — aranabilir erişim sattığını bildirdi. Nexus, satış ilanında “bir yılı aşkın süredir sürekli yeni veri sızdırdığını” yazdı. IDScan.net bu rakamların hiçbirini doğrulamadı ve kendisini alenen Nexus ile ilişkilendirmedi; bu bağlantıyı Krebs’in haberi kurdu.

Krebs’in dayanağı tarafların bir itirafı değil, dolaylı kanıt. Kendi Virginia ehliyeti ücretsiz örnek olarak sunulmuştu; bir düzineyi aşkın tanıdığından izin isteyip arama yaptığında dokuzunun ehliyetini buldu ve bu kişilerin hepsi, görüntelere işlenmiş zaman damgalarıyla aynı ya da ona yakın tarihlerde seyahat ettiğini doğruladı. Birkaçı ehliyetini bir Hertz kiralama gişesine vermişti; bir araştırmacının taraması ise Las Vegas’taki bir esrar dükkanına yaptığı ziyaretle örtüşüyordu. IDScan.net hem Hertz’i hem de esrar dükkanlarını müşterileri arasında sayan bir şirket. Krebs’e göre veri setinde pasaport bulunmuyordu.

Bunun kapsamı önemli, çünkü verideki insanların çoğu IDScan.net’i kendisi seçmedi. Şirketin müşterileri yaş ve kimlik kontrolünü ona devrediyor; IDScan.net kendi verilerine göre ayda 21 milyondan fazla doğrulamayı 20 binden fazla noktada yapıyor. Böylece bir mağaza kapısında ya da kiralama gişesinde taranan ehliyet, müşterinin adını bile duymadığı bir tedarikçinin bulutuna düşüyor. Bankaların ve çevrimiçi platformların kimlik kanıtı olarak kabul ettiği belgeler de tam olarak bu taramalar.

Bilinmeyen, olayın ölçeği. IDScan.net kaç kişinin etkilendiğini, erişimin ne kadar sürdüğünü ya da numaraların yanı sıra belge görüntülerinin de alınıp alınmadığını açıklamadı; dış uzmanların kapsamı henüz belirlediğini, federal kolluk kuvvetleriyle iş birliği yaptığını ve tespit ettiği kişilere ücretsiz kredi izleme ile kimlik koruma hizmeti sunacağını bildiriyor. FBI, 3 Eylül’de TIME dergisine olayı “incelemekte olduğunu” söyledi, ancak başka yorum yapmadı. Nexus, Krebs’in haberinden birkaç saat sonra kapandı; giriş sayfasında yalnızca “Bu hizmet artık mevcut değil” yazısı kaldı. Şirket ya da soruşturmacılar bir sayı açıklayana kadar 153 milyon, satıcının iddiası olarak kalıyor.