История Nexus — не очередная утечка паролей. Речь о данных, которые люди предъявляют именно после утечек паролей: водительские права, удостоверения личности, travel documents, medical cards, лица, штрихкоды, подписи и защитные признаки документов. KrebsOnSecurity сообщил, что новый сервис на преступном рынке предлагал сканы более 153 млн водительских удостоверений из США и Канады, а также миллионы других документов. По публикации, FBI New Orleans field office открыло inquiry, а сайт Nexus исчез вскоре после материала.

Обезличенные ID-карты за щитом с иконками замка и удаления данных

Правильная реакция — не паника, а разделение фактов и предположений. Сканы документов отличаются от email и паролей: пароль можно сменить, а лицо, дата рождения, подпись, старый адрес и сам факт существования копии документа почти неотзывны.

Расследование Krebs связывает возможный источник с цепочкой identity verification и называет IDScan.net как вероятный объект расследования. Но на момент освещения компания не подтвердила масштаб и характер несанкционированного доступа, Cybernews также подчёркивал отсутствие подтверждённого scope. Это важно: заявления преступного сервиса и наблюдения исследователей — не окончательный forensic report. Но даже при осторожной формулировке системный риск очевиден: бизнес массово копирует документы через посредников, а люди часто не знают, где эти копии хранятся.

Что известно

Krebs сообщил о more than 153 million drivers licenses, more than 10 million identification cards, more than 3 million travel/international IDs and at least 579,000 medical cards. Он также описал blank search с примерно 11.5 млн страниц результатов и рост количества driver-license records почти на 400,000 за сутки. Эти цифры нужно читать как reported observations and claims, а не как финальное уведомление о breach.

Krebs нашёл собственное водительское удостоверение в Nexus и описал несколько изображений: front/back scans, включая обычные, infrared and ultraviolet versions. По его проверке, документы части знакомых совпадали с travel/rental timelines. Поэтому тема не абстрактная: похоже, данные могли возникать при обычных бытовых проверках личности.

Что пока не доказано

Точный источник публично не доказан. Неизвестно, сколько уникальных людей затронуто, есть ли дубликаты, насколько стары записи, продолжается ли загрузка и исчез ли Nexus окончательно или просто сменил доступ. Нельзя автоматически считать, что каждый клиент поставщика или каждая компания из marketing list затронута. Krebs отдельно обновлял материал с пояснением Caesars, что компания не является клиентом IDScan.net и не использует VeriScan с февраля 2025.

Такой аккуратный язык не снижает серьёзность. Он помогает не превращать риск в слухи.

Почему скан ID опаснее пароля

Скан документа объединяет несколько типов доверия: фотографию лица, имя, дату рождения, адрес, номер документа, подпись, machine-readable data и визуальные признаки подлинности. Такой набор может помогать social engineering, попыткам восстановления аккаунтов, fraud applications, doxxing, harassment and weak identity checks.

Замена водительского удостоверения не всегда обнуляет риск. Старый скан остаётся полезен для подтверждения биографии, адреса, лица и подписи. Новый номер может помочь, но не делает старое изображение безопасным.

Для людей с повышенным риском — survivors of domestic violence, witnesses, activists, law enforcement, public figures — exposure документа может быть не только финансовой проблемой, но и физической безопасностью.

Как эти копии появляются

Обычный человек не думает, что отдаёт документ в data pipeline. Он арендует машину, заселяется в отель, входит на объект, покупает age-restricted product, проходит KYC или доказывает возраст онлайн. Сканер пищит, сотрудник видит approved, процесс продолжается.

Но внутри могут происходить разные действия: визуальная проверка, чтение штрихкода, фото front/back, infrared/ultraviolet scan, face matching, запрос в базу, сохранение результата проверки или хранение полного изображения. С точки зрения приватности это разные вещи.

Лучший дизайн доказывает минимум: человеку есть 21 год, документ выглядит действительным, посетитель проверен сегодня. Худший дизайн хранит полную копию годами, хотя бизнесу нужен был только yes/no result.

Почему поставщики проверки личности становятся системным риском

Identity-verification vendors полезны: fake IDs существуют, а регулируемые отрасли обязаны проверять возраст или личность. Проблема в концентрации. Один API может обслуживать аренду авто, отели, dispensary, access management, финансы и логистику. Если у него хранится много full images, security features and metadata, он становится сверхценной целью.

Пользователь обычно не выбирает такого поставщика, не видит retention policy и не может договориться об удалении. Поэтому услуга, уменьшающая fraud для каждого клиента, может увеличивать aggregate risk для общества.

Что делать людям

Не ищите себя на преступных рынках и не загружайте документы на “проверочные” сайты. Следите за официальными уведомлениями от организаций, где у вас сканировали ID. Осторожно относитесь к звонкам и письмам о замене документов, арендах, отелях, возвратах или age verification.

В США имеет смысл рассмотреть credit freeze в Experian, Equifax and TransUnion. Это не решает все виды misuse, но усложняет открытие новых кредитных линий. IdentityTheft.gov — основной ресурс FTC, если уже есть признаки кражи личности. Также стоит усилить recovery email, телефонный аккаунт, банковские alerts, carrier PIN and phishing-resistant MFA where possible. В Канаде стоит следить за рекомендациями Canadian Anti-Fraud Centre and relevant authorities.

Что делать бизнесу

Инвентаризируйте все точки, где ID сканируется или фотографируется. Где хранится изображение? Хранятся ли обе стороны? Есть ли infrared/ultraviolet copies? Кто имеет доступ? Как долго данные остаются? Используются ли они для training? Какие subprocessors участвуют? Можно ли удалить старые сканы и проверить удаление?

Разделите verification and retention. Если нужно лишь подтвердить возраст, хранение полной копии годами трудно оправдать. Если retention обязателен законом, храните минимум полей и минимум времени. Если изображение не нужно, отключите его хранение.

Procurement and legal teams должны требовать data-flow diagram, retention schedule, breach-notification timing, audit reports, storage regions, customer-managed keys, deletion API, access logs, training-data rules and subprocessor list.

Чего не делать

Не считайте credit freeze защитой от stalking or account recovery abuse. Не звоните по номерам из срочных писем. Не публикуйте свой документ в соцсетях, спрашивая совет. Не думайте, что исчезновение Nexus означает исчезновение данных. Но и fatalism не нужен: скучные меры защиты реально снижают риск.

Главный урок

Проблема не только в fake ID и качестве сканера. Проблема в retention. Система может отлично распознавать подделки и одновременно быть опасной, если складывает слишком много настоящих документов в одном месте.

Более безопасное будущее — не “сканировать лучше”, а “доказывать меньше”: подтверждать возраст без полной даты рождения и адреса, право доступа без хранения front/back image, факт проверки без материала для будущей имперсонации. История Nexus ещё развивается, но уже ясно: копии документов нельзя считать безвредным операционным мусором. Это ценные security assets.