ФБР расследует даркнет-сервис, заявивший о доступе к 153 миллионам записей водительских удостоверений. Коллекция, распространявшаяся под названием Nexus, охватывала жителей США и Канады, а некоторые записи содержали пометки «CDL» или «ECDL». Исследователи предупреждают, что украденные удостоверения такого рода могут усложнить проверку водителей по всей цепочке поставок — сфере, где склады и распределительные центры уже сталкиваются с фиктивными заборами грузов и мошенничеством с удостоверениями личности.

«ФБР может подтвердить, что изучает этот инцидент», — заявило отделение ФБР в Новом Орлеане FreightWaves. «В связи с продолжающимся расследованием мы не будем комментировать далее». Власти не назвали пострадавшую транспортную компанию или коммерческого водителя, и в настоящее время нет доказательств связи этих записей с кражами грузов.

KrebsOnSecurity первым сообщил о предполагаемой связи с провайдером идентификации из Луизианы IDScan.net. Компания не подтвердила несанкционированный доступ к своим системам. Reuters также не смог независимо установить происхождение коллекции, а федеральные следователи не раскрывали подробностей.

IDScan.net предлагает транспортным компаниям аутентификацию CDL. На её странице для логистики отображаются FedEx и Tractor Supply Co. без пояснений об их текущем использовании платформы. В кейсе компании описан не названный дистрибьютор продукции с северо-востока США, использующий платформу верификации личности VeriScan от IDScan на складе. Целевые клиенты компании — распределительные центры, порты, экспедиторы грузов, 3PL-операторы и автоперевозчики.

FreightWaves ранее рассматривал предупреждения IDScan о поддельных CDL и фиктивных заборах грузов. Операционный директор Джиллиан Коссман описывала, как преступники используют поддельные удостоверения для выдачи себя за легитимных водителей, отметив, что многие фальшивые права убедительно выглядят при визуальной проверке.

Nexus заявлял о постоянном доступе

Nexus появился 31 августа через объявление на российском киберпреступном форуме Exploit. Оператор предлагал более 160 миллионов североамериканских записей водительских удостоверений и удостоверений личности, а также ещё 10 миллионов документов, включая проездные документы, карты резидента и медицинские файлы. В объявлении утверждалось, что ежедневно добавляется примерно 500 000 новых записей.

Злоумышленник также заявлял о постоянном доступе к крупной компании по верификации личности и её клиентам и о том, что операция более года непрерывно собирала материалы. Эти утверждения остаются заявлениями продавца, а не подтверждёнными результатами расследования, и IDScan.net не выявила ни одного скомпрометированного клиента или платформы.

Зак Эдвардс, штатный исследователь угроз в Infoblox, изучил Nexus до исчезновения сервиса. Он нашёл в коллекции собственное удостоверение, полученное во время недавней поездки на кибербезопасностную конференцию в Лас-Вегас. Другие записи содержали даты отправки, распределённые по нескольким дням, что указывает на наличие в массиве недавно полученных документов.

Брайан Кребс отдельно наблюдал, как отображаемое количество удостоверений выросло почти на 400 000 за один день. Ища по несвязанным именам, он обнаружил пометки CDL и ECDL. «При поиске случайных вещей в результатах их было довольно много», — сказал Кребс FreightWaves. Эти файлы ничем не отличались от других записей удостоверений.

В некоторых штатах ECDL означает расширенное водительское удостоверение коммерческого типа, однако никто не подтвердил, что означали эти обозначения внутри Nexus. Кребс не нашёл сканов, напрямую связанных с грузовыми объектами или коммерческими заборами грузов; в базе не было названий складов, историй отгрузок или деталей транзакций.

Nexus ушёл из сети вскоре после публикации результатов Кребса — на странице входа отображалось сообщение о том, что сервис больше недоступен. Нет публичных доказательств, что исчезновение вызвано правоохранительными органами, и следователи не подтвердили, остались ли копии данных где-либо ещё.

Украденные удостоверения могут ослабить проверки при выдаче груза

«Тот факт, что этот злоумышленник потенциально получил коммерческие водительские права, повышает ставки для грузовых компаний», — написал Эдвардс. Преступные группы уже прилагают значительные усилия, чтобы выглядеть легитимно в схемах угона грузов, а подлинные удостоверения личности могут затруднить выявление таких попыток импersonации. Следователи не связали ни одну запись Nexus с подобной деятельностью.

Опасения усиливаются из-за того, как обычно устроены грузовые операции: действительный CDL часто служит одновременно удостоверением личности и основанием для выдачи ценного груза, поэтому один успешный скан правдоподобного документа может передать отгрузку самозванцу, если никто отдельно не проверяет предъявившее его лицо.

Сообщается, что многие доступные файлы включали фотографии обеих сторон каждой карты, а некоторые записи содержали данные штрихкодов, ультрафиолетовые и инфракрасные снимки. Преступники могут использовать полные документы для выдачи себя за жертв при проверках личности, и Эдвардс предупредил, что кто-то может напечатать фальшивые права на основе подлинных данных.

«Украденные документы вполне способны обойти системы KYC», — написал Эдвардс. Одних цифровых сканов может уже быть недостаточно для уверенной проверки при найме или выдаче груза. Он рекомендовал подтверждать, что каждый человек соответствует предъявленному удостоверению, а грузовые объекты могут также требовать физические документы перед выдачей груза.

Мерул Дхиман, разрабатывающий технологии верификации личности в FreightCheck, обслуживающем транспортные компании, указал на более широкую проблему для грузовых операций. «CDL — это токен авторизации, а не просто удостоверение», — написал Дхиман. Подлинный документ может пройти проверку, не подтверждая, что предъявляющее его лицо связано с этой отгрузкой.

«Система подтвердила документ, — написал Дхиман. — Она никогда не подтверждала, кто его держит». Он рекомендовал сопоставлять живого человека с одобренной личностью при выдаче груза — шаг, который связывает документ, водителя и назначенный груз перед выдачей.

PR-агентство IDScan.net подтвердило запрос FreightWaves и переслало вопросы представителям компании, однако до публикации существенного ответа не поступило. Reuters также не смог независимо установить заявленный источник.

Расследование ФБР продолжается, и вокруг инцидента остаётся много важных вопросов. Следователи не подтвердили заявленные объёмы и не выявили скомпрометированную систему. Никто не подтвердил, сколько коммерческих прав находилось в Nexus, а власти не обнаружили связанного с этим мошенничества в грузоперевозках. Далее стоит следить, подтвердят ли следователи происхождение данных, всплывут ли копии коллекции снова и изменят ли перевозчики и склады практику проверки при выдаче грузов. Обучение CFCO подчёркивает, что проверка на уровне человека должна проводиться до отгрузки груза: подлинный CDL подтверждает документ, а не человека, который его держит, и команды должны связывать это лицо с одобренным перевозчиком и назначенной отгрузкой до выдачи.