Das FBI untersucht einen Darknet-Dienst, der Zugriff auf 153 Millionen Führerscheindaten beanspruchte. Die unter dem Namen Nexus angebotene Datensammlung umfasste Personen in den gesamten USA und Kanada, und einige Einträge trugen die Kennzeichnungen „CDL" oder „ECDL". Forscher warnen, dass gestohlene Daten dieser Art die Fahrerverifikation entlang der gesamten Lieferkette erschweren könnten – ein Bereich, in dem Lager und Distributionszentren bereits gegen fingierte Abholungen und Identitätsbetrug kämpfen.

„Das FBI kann bestätigen, dass es den Vorfall untersucht", teilte das FBI in New Orleans FreightWaves mit. „Aufgrund der laufenden Untersuchung äußern wir uns nicht weiter." Die Behörden haben kein betroffenes Verkehrsunternehmen und keinen Berufskraftfahrer identifiziert, und derzeit verbindet nichts diese Daten mit Frachtdiebstahl.

KrebsOnSecurity berichtete zuerst über die mutmaßliche Verbindung zum in Louisiana ansässigen Identitätsanbieter IDScan.net. Das Unternehmen hat keinen unbefugten Zugriff auf seine Systeme bestätigt. Auch Reuters konnte den Ursprung der Datensammlung nicht unabhängig feststellen, und die Bundesermittler haben keine weiteren Details veröffentlicht.

IDScan.net bietet CDL-Authentifizierung für Verkehrsunternehmen an. Auf seiner Logistikseite werden FedEx und Tractor Supply Co. gezeigt, ohne deren aktuelle Nutzung der Plattform zu erläutern. Eine Fallstudie des Unternehmens beschreibt einen namentlich nicht genannten Obst- und Gemüsegroßhändler im Nordosten der USA, der IDScans VeriScan-Plattform zur Identitätsprüfung in einem Lagerhaus einsetzt. Zu den Zielkunden des Unternehmens zählen Distributionszentren, Häfen, Spediteure, 3PL-Dienstleister und Transportunternehmen.

FreightWaves hatte zuvor berichtet über IDScans Warnungen vor gefälschten CDLs und fingierten Abholungen. Chief Operating Officer Jillian Kossman beschrieb, wie Kriminelle mit falschen Dokumenten legitime Fahrer imitieren, und stellte fest, dass viele gefälschte Führerscheine bei visueller Prüfung überzeugend wirken.

Nexus beanspruchte dauerhaften Zugriff

Nexus tauchte am 31. August über eine Werbung im russischen Cybercrime-Forum Exploit auf. Der Betreiber bewarb mehr als 160 Millionen nordamerikanische Führerschein- und Ausweisdokumente sowie weitere 10 Millionen Dokumente, darunter Reiseausweise, Aufenthaltstitel und medizinische Akten. Die Werbung behauptete, täglich kämen rund 500.000 neue Datensätze hinzu.

Der Bedrohungsakteur beanspruchte zudem dauerhaften Zugriff auf ein großes Identitätsprüfungsunternehmen und dessen Kunden und gab an, die Operation habe seit über einem Jahr kontinuierlich Material gesammelt. Diese Aussagen sind bislang bloße Behauptungen des Verkäufers und keine bestätigten Ermittlungsergebnisse; IDScan.net hat keinen kompromittierten Kunden oder keine kompromittierte Plattform identifiziert.

Zach Edwards, Threat Researcher bei Infoblox, untersuchte Nexus, bevor der Dienst verschwand. Er fand seinen eigenen Führerschein in der Sammlung – ausgestellt bei einer kürzlichen Reise zu einer Cybersicherheitskonferenz nach Las Vegas. Andere Einträge trugen Eingabedaten über mehrere Tage verteilt, was darauf hindeutete, dass kürzlich beschaffte Dokumente Teil der Sammlung waren.

Brian Krebs beobachtete separat, wie die angezeigte Zahl der Führerscheine an einem einzigen Tag um fast 400.000 anstieg. Bei der Suche nach zusammenhangslosen Namen stieß er auf CDL- und ECDL-Kennzeichnungen. „Bei der Suche nach zufälligen Dingen gab es durchaus einige Treffer", sagte Krebs gegenüber FreightWaves. Diese Dateien unterschieden sich in nichts von anderen Führerscheineinträgen.

In einigen Bundesstaaten steht ECDL für einen erweiterten Berufsführerschein, doch niemand hat bestätigt, was die Kennzeichnungen innerhalb von Nexus bedeuteten. Krebs fand keine Scans, die direkt mit Frachtanlagen oder kommerziellen Abholungen zusammenhingen; die Datenbank enthielt keine Lagernamen, Versandhistorien oder Transaktionsdetails.

Nexus ging kurz nach Krebs' Veröffentlichung offline; die Login-Seite zeigte die Meldung, der Dienst sei nicht mehr verfügbar. Es gibt keinen öffentlichen Hinweis darauf, dass Strafverfolgungsbehörden das Verschließen verursacht haben, und die Ermittler haben nicht bestätigt, ob Kopien der Daten anderweitig weiterhin existieren.

Gestohlene Ausweise könnten Abholungskontrollen schwächen

„Dass dieser Bedrohungsakteur möglicherweise Berufskraftfahrerlizenzen erlangt hat, erhöht die Risiken für Frachtunternehmen", schrieb Edwards. Kriminelle Gruppen investieren bereits erheblichen Aufwand darin, bei Frachtdiebstählen legitim zu erscheinen, und echte Identitätsdokumente könnten solche Täuschungsversuche schwerer erkennbar machen. Die Ermittler haben keinen Nexus-Datensatz mit solchen Aktivitäten in Verbindung gebracht.

Die Sorge wird durch die übliche Praxis im Frachtbetrieb verstärkt: Ein gültiger CDL dient häufig gleichzeitig als Ausweis und Autorisierung zur Freigabe wertvoller Fracht. Ein einziger erfolgreicher Scan eines echt wirkenden Dokuments könnte daher eine Sendung an einen Hochstapler übergeben – sofern nicht zusätzlich die Person geprüft wird, die es vorlegt.

Viele der verfügbaren Dateien enthielten Berichten zufolge Fotos beider Kartenseiten, und einige Einträge enthielten Barcode-Daten, Ultraviolett- und Infrarotaufnahmen. Kriminelle könnten vollständige Dokumente nutzen, um Opfer bei Identitätsprüfungen zu imitieren; Edwards warnte, dass jemand mit echten Informationen gefälschte Führerscheine drucken könnte.

„Gestohlene Dokumente können KYC-Systeme definitiv aushebeln", schrieb Edwards. Digitale Scans allein bieten bei der Einstellung oder bei Abholungsprüfungen womöglich nicht mehr genug Sicherheit. Er empfahl zu bestätigen, dass jede Person mit der vorgelegten Identität übereinstimmt; Frachtanlagen sollten vor der Freigabe zudem physische Dokumente verlangen.

Merul Dhiman, der Identitätsprüfungstechnologie für das Transportunternehmen bedienende FreightCheck entwickelt, identifizierte eine weiterreichende Sorge für den Frachtbetrieb. „Ein CDL ist ein Autorisierungstoken, nicht nur ein Ausweis", schrieb Dhiman. Ein echtes Dokument kann die Prüfung bestehen, ohne zu bestätigen, dass die Person, die es vorlegt, zur Sendung gehört.

„Das System hat das Dokument bestätigt", schrieb Dhiman. „Es hat nie bestätigt, wer es in der Hand hielt." Er empfahl, bei der Abholung eine lebende Person mit der genehmigten Identität abzugleichen – ein Schritt, der Dokument, Fahrer und zugewiesene Ladung vor der Freigabe verbindet.

Die PR-Agentur von IDScan.net bestätigte die Anfrage von FreightWaves und leitete Fragen an Unternehmensvertreter weiter, doch vor Veröffentlichung traf keine substanzielle Antwort ein. Auch Reuters konnte die gemeldete Quelle nicht unabhängig verifizieren.

Die FBI-Untersuchung läuft weiter, und der Vorfall ist von erheblichen offenen Fragen umgeben. Die Ermittler haben die beworbenen Zahlen weder verifiziert noch ein kompromittiertes System identifiziert. Niemand hat bestätigt, wie viele Berufsführerscheine in Nexus enthalten waren, und die Behörden haben keinen daraus resultierenden Frachtbetrug festgestellt. Zu beobachten bleibt, ob die Ermittler die Herkunft der Daten bestätigen, ob Kopien der Sammlung wieder auftauchen und ob Spediteure und Lager ihre Praktiken bei der Abholungsverifikation als Reaktion darauf anpassen. Die Schulung des CFCO betont, dass eine Überprüfung auf Menschenebene erfolgen sollte, bevor die Fracht das Lager verlässt: Ein echter CDL bestätigt das Dokument, nicht die Person, die es hält – und Teams müssen diese Person vor der Freigabe mit dem genehmigten Transporteur und der zugewiesenen Sendung verknüpfen.