L'FBI sta indagando su un servizio del dark web che sosteneva di avere accesso a 153 milioni di record di patenti di guida. La raccolta, offerta con il nome di Nexus, riguardava persone negli Stati Uniti e in Canada, e alcune voci recavano etichette come "CDL" o "ECDL". I ricercatori avvertono che credenziali rubate di questo tipo potrebbero complicare la verifica dei conducenti lungo tutta la catena di fornitura, un ambito in cui magazzini e centri di distribuzione combattono già ritiri fittizi e frodi d'identità.

"L'FBI può confermare che sta esaminando l'incidente", ha dichiarato a FreightWaves l'FBI di New Orleans. "A causa del carattere in corso dell'indagine, decliniamo di commentare oltre." Le autorità non hanno identificato un'azienda di trasporti o un conducente commerciale colpito, e nessuna prova collega attualmente questi record a furti di carico.

KrebsOnSecurity ha riportato per primo l'apparente collegamento con il fornitore di identità della Louisiana IDScan.net. L'azienda non ha confermato alcun accesso non autorizzato ai propri sistemi. Anche Reuters non è riuscita a stabilire in modo indipendente dove abbia avuto origine la raccolta, e gli inquirenti federali non hanno rilasciato ulteriori dettagli.

IDScan.net offre servizi di autenticazione CDL alle aziende di trasporto. La sua pagina dedicata alla logistica mostra FedEx e Tractor Supply Co. senza spiegare il loro attuale utilizzo della piattaforma. Un case study dell'azienda descrive un distributore di prodotti freschi non specificato del Nordest che utilizza la piattaforma di verifica dell'identità VeriScan di IDScan in un magazzino. I clienti target dell'azienda includono centri di distribuzione, porti, freight broker, 3PL e vettori.

FreightWaves aveva già esaminato gli avvertimenti di IDScan sulle CDL false e sui ritiri fittizi. Il Chief Operating Officer Jillian Kossman ha descritto criminali che utilizzano credenziali false per impersonare conducenti legittimi, rilevando che molte patenti fraudolente appaiono convincenti a un'ispezione visiva.

Nexus sosteneva un accesso continuo

Nexus è comparso il 31 agosto tramite un annuncio sul forum di cybercrimine russo Exploit. L'operatore promuoveva oltre 160 milioni di record di patenti e documenti d'identità nordamericani, oltre ad altri 10 milioni di documenti comprendenti credenziali di viaggio, tessere di residenza e referti medici. L'annuncio dichiarava che circa 500.000 nuove aggiunte arrivavano quotidianamente.

Il threat actor sosteneva inoltre un accesso persistente a un'importante società di verifica dell'identità e ai suoi clienti, e affermava che l'operazione raccoglieva materiale in modo continuativo da oltre un anno. Queste dichiarazioni restano affermazioni del venditore anziché risultanze investigative confermate, e IDScan.net non ha identificato alcun cliente o piattaforma compromessa.

Zach Edwards, threat researcher presso Infoblox, ha esaminato Nexus prima che il servizio sparisse. Ha trovato la propria patente — ottenuta durante un recente viaggio a una conferenza sulla cybersecurity a Las Vegas — all'interno della raccolta. Altre voci riportavano date di invito distribuite su più giorni, a indicare che documenti ottenuti di recente facevano parte del bottino.

Brian Krebs, separatamente, ha osservato il conteggio delle patenti visualizzato aumentare di quasi 400.000 in un solo giorno. Cercando nomi non correlati, ha trovato etichette CDL ed ECDL. "Ce n'erano parecchie nei risultati cercando cose a caso", ha detto Krebs a FreightWaves. Quei file non mostravano differenze rispetto alle altre voci di patenti.

Alcuni stati utilizzano ECDL per indicare una patente di guida commerciale potenziata (enhanced commercial driver's license), ma nessuno ha confermato cosa significassero le due designazioni all'interno di Nexus. Krebs non ha trovato scansioni direttamente legate a strutture freight o ritiri commerciali; il database non conteneva nomi di magazzini, storie di spedizioni o dettagli di transazioni.

Nexus è andato offline poco dopo la pubblicazione delle scoperte di Krebs, con la pagina di accesso che mostrava un messaggio secondo cui il servizio non era più disponibile. Nessuna prova pubblica indica che le forze dell'ordine abbiano causato la scomparsa, e gli inquirenti non hanno confermato se copie dei dati esistano altrove.

Le identità rubate potrebbero indebolire i controlli al ritiro

"Il fatto che questo threat actor abbia potenzialmente acquisito patenti di guida commerciali alza la posta in gioco per le aziende di trasporto", ha scritto Edwards. I gruppi criminali investono già sforzi significativi per apparire legittimi negli schemi di dirottamento di carichi, e documenti d'identità autentici potrebbero rendere più difficili da rilevare i tentativi di impersonificazione. Gli inquirenti non hanno collegato alcun record di Nexus a tale attività.

La preoccupazione è amplificata dal funzionamento comune delle operazioni freight: una CDL valida spesso serve sia come identificazione sia come autorizzazione al rilascio di carichi di valore, quindi una singola scansione riuscita di una credenziale dall'aspetto autentico potrebbe consegnare una spedizione a un impostore, a meno che qualcuno verifichi separatamente la persona che la presenta.

Molti dei file disponibili includevano presumibilmente fotografie di entrambi i lati di ciascuna tessera, e alcune voci contenevano dati di codici a barre, immagini ultraviolette e acquisizioni a infrarossi. I criminali potrebbero usare documenti completi per impersonare le vittime durante i controlli d'identità, e Edwards ha avvertito che qualcuno potrebbe stampare patenti fraudolente usando informazioni autentiche.

"I documenti rubati possono assolutamente battere i sistemi KYC", ha scritto Edwards. Le sole scansioni digitali potrebbero non fornire più sufficiente certezza durante la verifica in fase di assunzione o di ritiro. Ha raccomandato di confermare che ogni persona corrisponda all'identità presentata, e le strutture freight potrebbero inoltre richiedere credenziali fisiche prima di rilasciare il carico.

Merul Dhiman, che sviluppa tecnologie di verifica dell'identità per FreightCheck, azienda che serve società di trasporto, ha individuato una preoccupazione più ampia per le operazioni freight. "Una CDL è un token di autorizzazione, non solo un documento d'identità", ha scritto Dhiman. Una credenziale autentica può superare la validazione senza confermare che la persona che la presenta sia legata alla spedizione.

"Il sistema ha confermato il documento", ha scritto Dhiman. "Non ha mai confermato chi lo stava tenendo in mano." Ha raccomandato di associare una persona in carne e ossa all'identità approvata al ritiro — un passo che collega credenziale, conducente e carico assegnato prima del rilascio.

L'ufficio relazioni pubbliche di IDScan.net ha riconosciuto la richiesta di FreightWaves e ha inoltrato le domande ai rappresentanti dell'azienda, ma nessuna risposta sostanziale è arrivata prima della pubblicazione. Anche Reuters non è riuscita a verificare in modo indipendente la fonte segnalata.

Le indagini dell'FBI sono ancora in corso e domande importanti circondano l'incidente. Gli inquirenti non hanno verificato i totali pubblicizzati né identificato un sistema compromesso. Nessuno ha confermato quante patenti commerciali comparissero all'interno di Nexus, e le autorità non hanno riscontrato alcuna frode freight derivatane. Da osservare in seguito è se gli inquirenti confermino l'origine dei dati, se copie della raccolta riemergano e se vettori e magazzini modifichino le pratiche di verifica al ritiro in risposta. La formazione CFCO sottolinea che una verifica a livello umano dovrebbe avvenire prima che il carico lasci il dock: una CDL autentica valida il documento, non la persona che lo tiene in mano, e i team devono collegare quell'individuo al vettore approvato e alla spedizione assegnata prima del rilascio.