FBI bada działającą w darknecie usługę, która twierdziła, że ma dostęp do 153 milionów rekordów praw jazdy. Kolekcja oferowana pod nazwą Nexus obejmowała osoby z całych Stanów Zjednoczonych i Kanady, a część wpisów nosiła etykiety „CDL” lub „ECDL”. Badacze ostrzegają, że skradzione poświadczenia tego rodzaju mogą skomplikować weryfikację kierowców w całym łańcuchu dostaw — obszarze, w którym magazyny i centra dystrybucyjne już teraz zmagają się z fikcyjnymi odbiorami ładunków i oszustwami tożsamości.

„FBI może potwierdzić, że bada ten incydent”, powiedziało FreightWaves biuro FBI w Nowym Orleanie. „Ze względu na trwający charakter śledztwa nie będziemy komentować dalej”. Władze nie zidentyfikowały żadnej poszkodowanej firmy transportowej ani kierowcy zawodowego, a żadne dowody nie łączą obecnie tych rekordów z kradzieżą ładunków.

KrebsOnSecurity pierwszy doniósł o pozornym powiązaniu z dostawcą weryfikacji tożsamości z Luizjany, firmą IDScan.net. Firma nie potwierdziła żadnego nieautoryzowanego dostępu do swoich systemów. Reuters również nie mógł niezależnie ustalić, skąd pochodziła kolekcja, a federalni śledczy nie udzielili dalszych szczegółów.

IDScan.net oferuje firmom transportowym uwierzytelnianie CDL. Jej strona logistyczna prezentuje FedEx i Tractor Supply Co. bez wyjaśnienia, jak obecnie korzystają z platformy. Studium przypadku firmy opisuje nienazwanego dystrybutora produktów z północno-wschodnich USA, który wykorzystuje platformę weryfikacji tożsamości VeriScan firmy IDScan w magazynie. Do grupy docelowych klientów firmy należą centra dystrybucyjne, porty, spedycyjni pośrednicy frachtowi, firmy 3PL i przewoźnicy drogowi.

FreightWaves wcześniej opisywał ostrzeżenia IDScan dotyczące fałszywych licencji CDL i fikcyjnych odbiorów ładunków. Dyrektor operacyjna Jillian Kossman opisywała przestępców posługujących się fałszywymi poświadczeniami w celu podszywania się pod legalnych kierowców, zaznaczając, że wiele fałszywych licencji wygląda przekonująco przy oględzinach wizualnych.

Nexus deklarował ciągły dostęp

Nexus pojawił się 31 sierpnia za pośrednictwem reklamy na rosyjskim forum przestępczym Exploit. Operator promował ponad 160 milionów północnoamerykańskich rekordów licencji i dokumentów tożsamości, a także kolejne 10 milionów dokumentów, w których skład wchodziły poświadczenia podróżne, karty pobytu i dokumenty medyczne. Reklama twierdziła, że codziennie przybywa około 500 tys. świeżych wpisów.

Sprawca twierdził również, że ma trwały dostęp do dużej firmy weryfikacji tożsamości i jej klientów oraz że operacja nieprzerwanie gromadziła materiały przez ponad rok. Te oświadczenia pozostają twierdzeniami sprzedawcy, a nie potwierdzonymi ustaleniami śledczymi, a IDScan.net nie zidentyfikowała żadnego naruszonego klienta ani platformy.

Zach Edwards, badacz zagrożeń z firmy Infoblox, przeanalizował Nexus przed zniknięciem usługi. W kolekcji znalazł własne prawo jazdy — uzyskane podczas niedawnej podróży na konferencję cyberbezpieczeństwa w Las Vegas. Inne wpisy nosiły daty przesłania rozłożone na wiele dni, co wskazywało, że część zbioru stanowiły niedawno pozyskane dokumenty.

Brian Krebs osobno obserwował, jak wyświetlana liczba licencji wzrosła o prawie 400 tys. w ciągu jednego dnia. Przeszukując niezwiązane nazwiska, natknął się na etykiety CDL i ECDL. „Przy wyszukiwaniu losowych rzeczy w wynikach było ich całkiem sporo”, powiedział Krebs FreightWaves. Te pliki nie różniły się od pozostałych wpisów licencji.

Niektóre stany używają określenia ECDL dla rozszerzonego prawa jazdy zawodowego, jednak nikt nie potwierdził, co oznaczały te oznaczenia wewnątrz Nexusa. Krebs nie znalazł skanów bezpośrednio powiązanych z obiektami frachtowymi lub zawodowymi odbiorami ładunków; baza nie zawierała nazw magazynów, historii przesyłek ani szczegółów transakcji.

Nexus zszedł z sieci wkrótce po opublikowaniu ustaleń przez Krebsa — jego strona logowania wyświetlała komunikat, że usługa nie jest już dostępna. Żaden publiczny dowód nie wskazuje, że zniknięcie spowodowały organy ścigania, a śledczy nie potwierdzili, czy kopie danych pozostają gdzie indziej.

Skradzione dokumenty mogą osłabić kontrole przy odbiorze

„Fakt, że ten sprawca potencjalnie zdobył prawa jazdy zawodowej, podnosi stawki dla firm frachtowych”, napisał Edwards. Grupy przestępcze już teraz inwestują znaczne wysiłki w tworzenie pozorów legalności w schematach porwań ładunków, a autentyczne dokumenty tożsamości mogą utrudnić wykrycie prób impersonacji. Śledczy nie powiązali żadnego rekordu z Nexusa z taką działalnością.

Obawy potęguje typowa praktyka operacji frachtowych: ważne CDL często służy jednocześnie jako identyfikacja i autoryzacja do wydania cennego ładunku, więc jeden udany skan autentycznie wyglądającego poświadczenia mógłby przekazać przesyłkę oszustowi, jeśli nikt osobno nie zweryfikuje osoby je przedstawiającej.

Według doniesień wiele dostępnych plików zawierało fotografie obu stron każdej karty, a część wpisów obejmowała dane z kodów kreskowych, obrazy w ultrafiolecie i nagrania w podczerwieni. Przestępcy mogliby wykorzystać kompletne dokumenty do podszywania się pod ofiary podczas kontroli tożsamości, a Edwards ostrzegł, że ktoś mógłby wydrukować fałszywe licencje z wykorzystaniem prawdziwych danych.

„Skradzione dokumenty absolutnie potrafią pokonać systemy KYC”, napisał Edwards. Same skany cyfrowe mogą już nie zapewniać wystarczającej pewności przy weryfikacji podczas zatrudniania lub odbioru ładunku. Zalecił potwierdzanie, że każda osoba odpowiada przedstawionej tożsamości, a obiekty frachtowe mogą również wymagać fizycznych poświadczeń przed wydaniem ładunku.

Merul Dhiman, który rozwija technologię weryfikacji tożsamości dla FreightCheck, firmy obsługującej przedsiębiorstwa transportowe, wskazał szerszą obawę dla operacji frachtowych. „CDL to token autoryzacyjny, nie tylko dokument tożsamości”, napisał Dhiman. Autentyczne poświadczenie może przejść walidację bez potwierdzania, że osoba je przedstawiająca jest powiązana z przesyłką.

„System potwierdził dokument”, napisał Dhiman. „Nigdy nie potwierdził, kto go trzymał”. Zalecił dopasowanie żywej osoby do zatwierdzonej tożsamości przy odbiorze — krok, który łączy poświadczenie, kierowcę i przypisany ładunek przed jego wydaniem.

Firma relacji publicznych IDScan.net potwierdziła zapytanie FreightWaves i przekazała pytania przedstawicielom firmy, jednak przed publikacją nie nadeszła żadna istotna odpowiedź. Reuters również nie mógł niezależnie ustalić rzekomego źródła.

Śledztwo FBI trwa nadal, a wokół incydentu wciąż wirują istotne pytania. Śledczy nie zweryfikowali deklarowanych liczb ani nie zidentyfikowali naruszonego systemu. Nikt nie potwierdził, ile licencji zawodowych znalazło się w Nexusie, a władze nie wykryły żadnego wynikającego z tego oszustwa frachtowego. Warto obserwować, czy śledczy potwierdzą pochodzenie danych, czy kopie kolekcji ponownie się pojawią oraz czy przewoźnicy i magazyny dostosują praktyki weryfikacji odbioru w odpowiedzi. Szkolenie CFCO podkreśla, że weryfikacja na poziomie ludzkim powinna odbywać się przed opuszczeniem przez fracht rampy: autentyczne CDL potwierdza dokument, a nie osobę, która go trzyma, a zespoły muszą powiązać tę osobę z zatwierdzonym przewoźnikiem i przypisaną przesyłką przed wydaniem ładunku.