150 milyon çalınmış kimlik sunan dark web sitesi, doğrulama firması IDScan'daki ihlale işaret ediyor

Ne oldu

TechCrunch'ın bulguları hakkındaki haberine göre, bağımsız güvenlik gazetecisi Brian Krebs, devlet tarafından verilen kimlik belgelerini doğrulayan bir şirketteki şüpheli bir ihlale işaret eden kanıtlar ortaya çıkardı.

Olayın merkezinde, bu hafta dark web'de ortaya çıkan Nexus adlı kimlik hırsızlığı servisi var. Krebs'ın haberine göre site, ABD ve Kanada'daki kişilere ait 150 milyondan fazla ehliyet ve pasaporta aranabilir erişim sunduğunu duyuruyordu. Bilinen bir Rus siber suç forumunda paylaşılan site tanıtımında, her gün yaklaşık yarım milyon yeni belge eklendiği ve bu kaynağın "büyük bir kimlik doğrulama şirketine" dayandığı iddia edildi; TechCrunch'ın da belirttiği gibi bu ayrıntı, saldırganların arşivlenmiş dosyaları tek seferlik çalmak yerine mağdurun sistemlerine sürekli erişimlerinin olduğuna işaret ediyor. Müşteri fotoğrafları, mevcut olduğu yerlerde dahildi.

Verilerin gerçek göründüğü söylenebilir. Krebs, kendi ehliyetini aranabilir kayıtlar arasında buldu; ABD Savunma Bakanı Pete Hegseth de fotoğrafları sitede listelenen kişiler arasındaydı. Bir Savunma Bakanlığı sözcüsü TechCrunch'a, bakanlığın "bu raporların farkında olduğunu ve değerlendirdiğini" söyledi.

IDScan nasıl ana şüpheli haline geldi

Kimlik kartı bu veri yığınında ortaya çıkan güvenlik araştırmacısı Zach Edwards ile iş birliği yapan Krebs, sızıntının olası kaynağını, Louisiana merkezli kimlik belgesi tarama ve doğrulama teknolojisi sağlayıcısı IDScan'a kadar izledi. TechCrunch'a göre, şirket büyük teknoloji ve tüketici markaları tarafından kullanılıyor ve her ay dünyanın dört bir yanında on milyonlarca kimliğin doğrulanmasında rol oynuyor. Ürünleri, insanların rutin olarak ehliyet ve pasaport teslim ettiği yerlerin tam ortasında duruyor: barlar, kannabis satış noktaları, kiralama bankoları ve benzeri gerçek dünya kontrol noktaları.

IDScan CEO'su Jimmy Roussel, TechCrunch'ın yorum talebine yanıt vermedi. Operasyon direktörü Jillain Kossman, Krebs'a şirketin olayı araştırdığını söyledi; Krebs, FBI'ın New Orleans bürosunun da olayı soruşturduğunu bildiriyor. FBI, TechCrunch'ın sorusuna yanıt vermedi. Krebs bulgularını yayımladıktan kısa süre sonra Nexus sitesi çevrimdışı oldu.

Neden önemli

Ölçek olağanüstü. TechCrunch, çoğu hesaba göre bunun yılların en büyük belgelenmiş kimlik belgesi hırsızlığı olacağını belirtiyor. Sızdırılmış bir parolanın aksine, ehliyet veya pasaport basitçe sıfırlanamaz; bu tür bir ihlalde açığa çıkan her şey, kimlik hırsızları için kalıcı bir kaynak olarak kalıyor. Fotoğrafların dahil edilmesi zararı daha da büyütüyor ve suçlulara hesap ele geçirme, sentetik kimlik dolandırıcılılığı ve son derece ikna edici oltalama saldırıları için ham madde sağlıyor.

Zamanlama da önemli. Hükümetler, yetişkinlerin erişim izni almadan önce web sitelerine ve uygulamalara kimlik belgesi yüklemelerini giderek daha fazla zorunlu kılan yaş doğrulama yasalarını devreye alıyor. Güvenlik uzmanları ve mahremiyet savunucuları, bu belgeleri toplayıp uzun süre elinde tutan şirketlerin yoğunlaştırılmış hedefler oluşturduğunu ve nihai ihlalin, bir barda veya kiralama bankosunda kimlik taratan her müşteriyi zarara uğratacağını uzun süredir savunuyor.

Önemli uyarılar hâlâ geçerli. IDScan bir olayı doğrulamadı ve bu atıf, şirketin bir itirafı yerine Krebs ve Edwards'ın analizine dayanıyor. Ancak bulgular geçerli olursa, bu dava, uyumluluk amacıyla kimlik belgelerini merkezileştirmenin gizli maliyetinin çarpıcı bir örneği olarak anılacak; bu maliyet, ancak veriler çoktan kaybolduğunda görünür hale geliyor.