FBIは、1億5,300万件の運転免許証記録へのアクセスを主張するダークウェブサービスを調査している。「Nexus」の名で提供されていたこのデータコレクションには米国とカナダ全土の個人が含まれ、一部の記録には「CDL」または「ECDL」というラベルが付いていた。研究者らは、この種の流出した資格情報がサプライチェーン全体のドライバー確認を複雑にする恐れがあると警告している。倉庫や流通センターでは、架空の受け取りやなりすまし詐欺がすでに課題となっている分野だ。

「FBIは当該事案を調査中であることを確認できます」とFBIニューオーリンズ支局はFreightWavesに語った。「調査が進行中であるため、これ以上のコメントは控えます」。当局は被害を受けた運輸企業や商用ドライバーを特定しておらず、現時点でこれらの記録と貨物盗難を結び付ける証拠はない。

KrebsOnSecurityが最初に報じたところによると、この件はルイジアナ州の本人認証企業IDScan.netとの関連が疑われている。同社は自社システムへの不正アクセスを確認していない。Reutersもこのコレクションの出所を独立に確認できておらず、連邦捜査当局は詳細を発表していない。

IDScan.netは運輸企業向けのCDL認証サービスを提供している。同社の物流ページにはFedExとTractor Supply Co.が掲載されているが、現在のプラットフォーム利用状況は説明されていない。同社の事例研究では、名前の明かされていない北東部の青果流通業者が倉庫でVeriScan本人認証プラットフォームを使用していると紹介されている。同社の顧客対象には、流通センター、港湾、貨物ブローカー、3PL、運送会社が含まれる。

FreightWavesは以前、偽造CDLと架空の受け取りに関するIDScanの警告を取り上げた。最高執行責任者のJillian Kossman氏は、犯罪者が偽造資格情報を使って正規ドライバーになりすます状況を説明し、多くの偽造免許が目視検査では本物に見えると指摘した。

Nexusは継続的アクセスを主張

Nexusは8月31日、ロシアのサイバー犯罪フォーラムExploit上の広告として現れた。運営者は北米の免許証・身分証記録1億6,000万件以上を宣伝し、旅行証明書、居住証、医療記録を含む別の1,000万件の文書も併せて提示した。広告では、1日約50万件の新規記録が追加されると主張されていた。

脅威アクターはまた、大手本人認証企業とその顧客への継続的なアクセスを主張し、1年以上にわたり継続的にデータを収集してきたと述べた。これらの主張は売り手側の申告であり、調査で確認された事実ではない。IDScan.netは侵害を受けた顧客やプラットフォームを特定していない。

Infobloxのスタッフ脅威研究者であるZach Edwards氏は、同サービスが消失する前にNexusを調査した。その結果、ラスベガスでの最近のサイバーセキュリティ会議出張で取得した自分自身の免許証がコレクション内に見つかった。他の記録には複数の日にまたがる提出日が含まれており、最近取得された文書がこのデータ群に含まれていたことを示していた。

Brian Krebs氏も別個に、表示されている免許証の件数が1日で約40万件増加するのを確認した。無関係な名前を検索した際、CDLとECDLのラベルを見つけた。「ランダムな検索でもかなり多くの結果が出てきました」とKrebs氏はFreightWavesに語った。それらのファイルには他の免許証記録との違いはなかった。

ECDLは一部の州で拡張型商業運転免許を意味するが、Nexus内でこれらの表示が何を指していたのかは確認されていない。Krebs氏は貨物施設や商用受け取りに直接結び付くスキャンは発見しておらず、データベースには倉庫名、出荷履歴、取引詳細は含まれていなかった。

NexusはKrebs氏が調査結果を公開してまもなくオフラインとなり、ログインページにはサービスが利用不可になった旨のメッセージが表示された。法執行機関が消失の原因であることを示す公開情報はなく、調査当局はデータのコピーが他に残存しているかどうかを確認していない。

流出したIDは受け渡し確認を弱体化させる恐れ

「この脅威アクターが商用運転免許を入手した可能性があるという事実は、貨物企業にとってリスクを高めるものです」とEdwards氏は記した。犯罪グループはすでに貨物強盗の計画において正当に見せるために多大な労力を投じており、本物の本人確認書類があればなりすましの検出はさらに困難になる。調査当局はNexusの記録をこの種の活動に結び付けていない。

この懸念は、貨物業務の一般的なあり方によって増幅される。有効なCDLは多くの場合、貴重な貨物を引き渡す際の身分証明と権限確認の両方を兼ねるため、本物に見える資格証を1回スキャンするだけで、提示した人物を別途確認しなければ貨物がなりすまし犯に渡ってしまう可能性がある。

報告によれば、入手可能なファイルの多くにはカードの両面の写真が含まれ、一部の記録にはバーコードデータ、紫外線画像、赤外線キャプチャも含まれていた。犯罪者は完全な文書を使って本人確認時に被害者になりすます可能性があり、Edwards氏は本物の情報を使って偽造免許を印刷できることも警告した。

「盗まれた文書はKYCシステムを確実に突破できます」とEdwards氏は記した。デジタルスキャンだけでは、採用時や受け渡し確認時に十分な確実性をもたらさなくなる可能性がある。同氏は提示された本人確認と各個人が一致することを確認し、貨物施設は貨物の引き渡し前に実物の資格証の提示を求めることも推奨した。

運輸企業向けの本人認証技術を開発するFreightCheckのMerul Dhiman氏は、貨物業務におけるより広範な懸念を指摘した。「CDLは単なる身分証ではなく、権限トークンです」とDhiman氏は記した。本物の資格証は、提示した人物がその貨物に関係しているかを確認せずに検証を通過してしまう。

「システムが確認したのは文書です」とDhiman氏は記した。「誰がそれを持っていたかは決して確認していません」。同氏は受け渡し時に本人と承認された身分情報を照合することを推奨した。この対応により、資格証、ドライバー、割り当てられた貨物を引き渡し前に結び付けることができる。

IDScan.netの広報会社はFreightWavesの問い合わせを認め、同社の担当者に質問を転送したが、公開前の段階で実質的な回答は届かなかった。Reutersも報じられた情報源を独立に確認できなかった。

FBIの調査は継続中であり、この事件には多くの重要な疑問が残されている。調査当局は宣伝されていた件数を検証しておらず、侵害されたシステムも特定していない。Nexus内に何件の商用免許が含まれていたかは確認されておらず、当局はこれに起因する貨物詐欺も発見していない。今後の注目点は、調査当局がデータの出所を確認するか、コレクションのコピーが再出現するか、そしてこれを受けて運送会社や倉庫が受け渡し確認の運用を変更するかどうかである。CFCOのトレーニングでは、貨物が出庫する前に人レベルの確認を行うべきであると強調している。本物のCDLが確認するのは文書であってドックに立つ人物ではなく、チームは引き渡し前にその人物を承認された運送業者と割り当てられた貨物に結び付ける必要がある。