レンタカー利用直後に個人情報がダークウェブで流出：1.5億枚超の運転免許証が販売される
サイバーセキュリティメディアのブライアン・クレブス氏が、北米地域に住む人々の個人情報が大規模に流出している事案を報じました。個人情報窃盗サービス「Nexus」が、ダークウェブ上でアメリカとカナダの運転免許証のデジタルスキャン画像を1億5300万枚以上、身分証明書を1000万枚以上、医療カードを57万9000枚以上という膨大な量で販売していることが明らかになりました。このデータは、ルイジアナ州に拠点を置く本人確認サービス企業が収集した画像を盗用している可能性が指摘されています。
クレブス氏自身が、自身の運転免許証がExploitというロシアのサイバー犯罪フォーラムのユーザーによって無料サンプルとして公開されているのを発見しました。この免許証には、表面・裏面写真のほか、スキャン画像、赤外線写真、紫外線写真など計6種類の画像ファイルが含まれており、各画像にはタイムスタンプが付与されていました。特に、クレブス氏の免許証のスキャン画像に記録されたタイムスタンプの日付は、「家族の葬儀のためにアメリカ中西部へ飛行機で向かった日」でした。
調査を進めた結果、データ流出の有力な手がかりとして、レンタカー会社「Hertz」や本人確認サービスプロバイダー「idscan.net」が浮上しました。クレブス氏の母親の免許証のタイムスタンプも、彼自身のものとわずか数秒しか差がないタイミングで記録されており、複数の被害者が「Hertz」でレンタカーを借りたという証言が一致したためです。また、別のセキュリティ研究者も、薬局「Planet13」で身分証明書を提示したタイミングでデータが取得されていたことが判明しました。
Nexusが保有するデータには、ピート・ヘグセス国防長官の運転免許証も含まれており、この事案は単なる個人情報漏洩に留まらず、国家的なセキュリティリスクを伴う深刻な事態です。クレブス氏が情報漏洩の可能性をidscan.netに通知したところ、同社は調査中であると回答し、現在、連邦捜査局（FBI）もこの事案について捜査を開始しています。この報道を受け、Nexusのウェブサイトはダークウェブ上から姿を消しました。
背景
近年、デジタル化の進展に伴い、本人確認サービスやオンライン取引が増加した結果、大量の個人情報がデータ収集の対象となっています。これらのデータがサイバー犯罪組織の手に渡ることで、大規模ななりすましや詐欺行為に利用されるリスクが高まっており、本件はその典型的な事例です。
重要用語解説
- ダークウェブ: 一般の検索エンジンではアクセスできない、匿名性の高いウェブ空間の総称。犯罪組織が違法な商品やサービス（盗難データなど）を取引する場として利用されることが多い。
- 個人情報窃盗サービス: 盗まれた個人情報（運転免許証、身分証明書など）を収集・販売するサービス。これらのデータは、なりすましや金融詐欺の実行に利用される。
- タイムスタンプ: データが作成または取得された正確な日時を示す記録。本件では、データが特定の行動（レンタカー利用や移動）の直後に取得されたことを示す重要な証拠となっている。
今後の影響
本件は、個人のプライバシー保護に対する深刻な警鐘であり、本人確認サービスのデータ管理体制の抜本的な見直しを迫ります。今後、企業や政府機関は、データ収集の過程で取得した個人情報について、より厳格なセキュリティ対策と、情報漏洩時の迅速な対応義務を負うことが求められます。