Der Identitätsverifizierungsdienst IDScan hat einen Sicherheitsvorfall bestätigt, bei dem unbefugte Dritte auf Kundendaten in der Cloud-Plattform des Unternehmens zugegriffen haben. Die Bestätigung erfolgte Tage nachdem Berichte das Unternehmen mit einer massiven Datenbank in Verbindung brachten, die über 153 Millionen Führerschein-Scans enthielt. Die Cyberkriminellen hatten die Daten über den Darknet-Marktplatz „Nexus“ zum Verkauf angeboten.
IDScan bestätigt Datenleck mit 153 Millionen gestohlenen Führerschein-Scans
In einer Sicherheitsmitteilung vom 4. September räumte IDScan ein, dass man um den 1. September herum erfahren habe, dass bestimmte Daten möglicherweise unbefugt abgerufen worden seien. Das Unternehmen erklärte, unverzüglich Maßnahmen zur Sicherung der Systeme ergriffen und ein Team externer Spezialisten hinzugezogen zu haben, um das volle Ausmaß des Vorfalls zu ermitteln. „Nach dieser Entdeckung haben wir sofort Schritte unternommen, um unsere Systeme zu sichern, und ein Team externer Spezialisten beauftragt, um die vollständige Art und das Ausmaß des Vorfalls zu bestimmen“, so der Wortlaut der offiziellen Stellungnahme.
Die Untersuchung dauert noch an. IDScan hat jedoch festgestellt, dass ein unbefugter Dritter möglicherweise auf Kundeninformationen zugegriffen oder diese kopiert hat, die in Konten auf der IDScan.net-Cloud gespeichert waren. Zu den gefährdeten Daten zählen die vollständigen Namen der Kunden sowie Führerscheinnummern oder andere Nummern staatlicher Ausweise. In der offiziellen Benachrichtigung nicht explizit erwähnt, aber durch die bisherigen Erkenntnisse nahegelegt wird der Diebstahl von Führerschein-Scans selbst.
TechCrunch entdeckte die Sicherheitsmitteilung von IDScan, die am 4. September veröffentlicht, jedoch mit einer Noindex-Direktive versehen war, die Suchmaschinen anwies, die Seite nicht zu indexieren. BleepingComputer hatte bereits am 4. September über mehrere Klagen gegen IDScan im Zusammenhang mit dem mutmaßlichen Datenleck berichtet, durch das eine Datenbank mit über 153 Millionen Führerscheinen kompromittiert worden sein soll. Zu diesem Zeitpunkt hatte IDScan den Vorfall weder öffentlich eingeräumt noch auf Anfragen reagiert.
Das Unternehmen betonte, dass der vollständige Zugriff auf die exponierten Informationen zwar käuflich war, man die potenziell betroffenen Personen jedoch „aus Gründen der Vorsicht“ benachrichtige und ihnen kostenlose Kreditüberwachungs- und Identitätsschutzdienste anbiete.
Massive Datenbank taucht im Darknet auf
Der Vorfall kam erstmals ans Licht, nachdem der Sicherheitsforscher Brian Krebs am 1. September berichtete, dass eine Darknet-Plattform namens „Nexus“ den Zugriff auf mehr als 153 Millionen Führerschein-Scans aus den USA und Kanada anbot. Der Dienst enthielt angeblich auch 10 Millionen Personalausweise, 3 Millionen Reisedokumente und 579.000 Krankenversicherungskarten. Krebs konnte die Datenbank verifizieren, indem er Proben von Datensätzen überprüfte, die ihm selbst und anderen Personen gehörten, die der Suche zugestimmt hatten. Die Spuren führten zurück zu IDScan.
IDScan bietet Technologie zur Identitätsverifizierung an, mit der Unternehmen Regierungsdokumente scannen, authentifizieren und Informationen daraus extrahieren können. Die Plattform wird unter anderem von Autovermietungen, Einzelhändlern, Finanzinstituten, Cannabis-Dispensaries, Waffengeschäften und Unternehmen aus dem Gastgewerbe genutzt.
Nach Bekanntwerden des Nexus-Dienstes wurde die Plattform offline genommen. Die Cyberkriminellen haben jedoch mutmaßlich weiterhin Zugriff auf die Datenbank. Seitdem haben mehrere Bedrohungsakteure behauptet, die gesamte Datenbank zu verkaufen. BleepingComputer konnte die Echtheit dieser Angebote jedoch nicht bestätigen.
Ermittlungen und Reaktionen
IDScan gab an, mit den Bundesbehörden zusammenzuarbeiten. Das FBI bestätigte gegenüber BleepingComputer, dass es den Vorfall untersucht. „Als Reaktion auf diesen Vorfall haben wir sofort eine Untersuchung eingeleitet und unsere Richtlinien und Verfahren zur Datensicherheit überprüft“, erklärte IDScan. „Wir arbeiten zudem mit den Strafverfolgungsbehörden des Bundes an deren Ermittlungen zusammen.“ BleepingComputer hat IDScan mehrfach zu dem Vorfall kontaktiert, bislang jedoch keine Antwort erhalten.
Die Dimension des Lecks ist beispiellos. 153 Millionen Führerschein-Scans bedeuten nicht nur den Verlust von Ausweisnummern, sondern auch von Lichtbildern, Unterschriften und möglicherweise biometrischen Daten. Kriminelle können diese Informationen nutzen, um Identitäten zu stehlen, Kreditkarten zu beantragen oder sich als andere Personen auszugeben. Der Fall zeigt die Verwundbarkeit von Systemen, die sensible Identitätsdaten in großem Umfang speichern, und wirft ein Schlaglicht auf die Sicherheitspraktiken von Unternehmen, die im Bereich der digitalen Identitätsprüfung tätig sind. Der langfristige Schaden für die betroffenen Personen wird sich erst in den kommenden Jahren zeigen.
