Nexus to nie kolejny wyciek haseł. Chodzi o dokumenty, które ludzie pokazują, aby potwierdzić tożsamość: prawa jazdy, dowody, dokumenty podróży, karty medyczne, twarze, kody kreskowe, podpisy i zabezpieczenia. KrebsOnSecurity podał, że nowy przestępczy serwis oferował skany ponad 153 milionów praw jazdy z USA i Kanady oraz miliony innych dokumentów. Według relacji biuro FBI w Nowym Orleanie rozpoczęło dochodzenie, a Nexus zniknął wkrótce po publikacji.

Anonimowe karty ID za tarczą z ikonami kłódki i usuwania danych

Nie chodzi o panikę, lecz o rozróżnienie faktów, obserwacji i twierdzeń. Skanu dokumentu nie resetuje się jak hasła. Zawiera zdjęcie, podpis, datę urodzenia, dawny adres i sygnały zaufania, które długo pozostają użyteczne.

Co wiadomo

Krebs opisał ponad 153 miliony praw jazdy, ponad 10 milionów kart ID, ponad 3 miliony dokumentów podróży lub międzynarodowych i co najmniej 579 tysięcy kart medycznych. Opisał też pustą wyszukiwarkę dającą około 11,5 miliona stron wyników. To obserwacje i claims, nie ostateczny raport forensics.

Krebs znalazł własne prawo jazdy i opisał skany przodu i tyłu, także wersje infrared i ultraviolet. U części znajomych znaczniki czasu pasowały do podróży lub wynajmu. To wygląda jak ryzyko z codziennych kontroli tożsamości.

Czego nie udowodniono

Dokładne źródło nie jest publicznie potwierdzone. Nie wiadomo, ile unikalnych osób dotyczy sprawa, ile jest duplikatów, jak stare są dane i czy wyciek trwa. IDScan.net pojawia się w śledztwie Krebs jako prawdopodobne źródło, ale firma nie potwierdziła zakresu ani charakteru nieautoryzowanego dostępu w dostępnych materiałach.

Nie wolno też zakładać, że każda marka z listy marketingowej jest dotknięta. Krebs dodał korektę Caesars, które podało, że nie jest klientem IDScan.net i nie używa VeriScan od lutego 2025.

Dlaczego skany są inne

Skan łączy imię, datę urodzenia, adres, numer, podpis, zdjęcie, dane maszynowe i wizualne cechy autentyczności. Może pomagać w socjotechnice, odzyskiwaniu kont, fraud, doxxing, nękaniu i słabych kontrolach tożsamości.

Nowy dokument może pomóc, ale nie usuwa starego obrazu. Twarz, podpis i dawny adres zostają. Karty medyczne i dokumenty podróży niosą dodatkowe ryzyko zdrowotne, narodowościowe i fizyczne.

Skąd biorą się kopie

Użytkownik myśli o wynajmie auta, hotelu, wejściu do budynku, zakupie regulowanym lub online age check. System może jednak czytać kod, fotografować obie strony, robić infrared/ultraviolet scan, porównywać twarz, pytać API, zapisać wynik albo zachować pełny obraz.

To nie są równoważne operacje. Bezpieczniej dowodzić minimum: wiek, ważność, dzisiejsza kontrola. Ryzykownie jest trzymać pełny skan przez lata, gdy wystarczył wynik tak/nie.

Dlaczego dostawcy są ryzykiem systemowym

Weryfikacja dokumentów ma sens: są fałszywe ID i obowiązki regulacyjne. Ale dostawca obsługujący hotele, wynajem, wejścia, finanse i handel gromadzi bardzo wartościowe materiały. Użytkownik końcowy zwykle go nie wybiera, nie zna retencji i nie negocjuje usunięcia.

Usługa może zmniejszać fraud u klientów, a jednocześnie zwiększać ryzyko społeczne jako centralny magazyn dokumentów. Potrzebne są minimalizacja, szyfrowanie, logi dostępu, krótka retencja, usuwanie i audyty.

Co może zrobić osoba prywatna

Nie szukaj siebie na przestępczych rynkach ani stronach “sprawdź wyciek”. Czekaj na oficjalne powiadomienia. Uważaj na wiadomości o wymianie dokumentu, hotelach, wynajmie, zwrotach i weryfikacji wieku.

W USA warto rozważyć credit freeze w Experian, Equifax i TransUnion. Nie blokuje wszystkiego, ale utrudnia nowe konta kredytowe. IdentityTheft.gov pomaga przy realnym nadużyciu. Wzmocnij e-mail, telefon, bank, alerty, PIN u operatora i MFA odporne na phishing. W Kanadzie śledź Canadian Anti-Fraud Centre.

Co powinny zrobić firmy

Spisać wszystkie miejsca skanowania ID. Kto dostaje obraz? Czy przechowywane są obie strony, infrared lub ultraviolet? Jak długo? Kto ma dostęp? Czy dane trenują modele? Jacy są podwykonawcy? Czy usunięcie jest weryfikowalne?

Oddziel weryfikację od retencji. Jeśli potrzebny jest tylko wiek, pełny obraz przez lata trudno uzasadnić. Od dostawców wymagaj diagramu danych, harmonogramu retencji, terminów powiadomień, audytów, regionów przechowywania, kluczy klienta, API usuwania, logów i zasad treningu.

Czego nie robić

Nie wysyłaj dokumentu do losowych usług sprawdzających. Nie dzwoń pod numery z pilnych maili. Nie publikuj skanu. Nie zakładaj, że zniknięcie Nexus usuwa dane. Nie popadaj też w fatalizm: zamrożenie kredytu, monitoring kont i mocne odzyskiwanie realnie zmniejszają ryzyko.

Wniosek

Lekcja brzmi: nie tylko skanować lepiej, lecz dowodzić mniej. Potwierdzić wiek bez pełnego adresu, dostęp bez skanu dwóch stron, weryfikację bez materiału do przyszłej impersonacji. Kopie dokumentów nie są odpadem operacyjnym. To wrażliwe zasoby bezpieczeństwa.