Kebocoran terbesar yang diketahui dari scan SIM Amerika Utara telah membuat Caesars Entertainment dan Circa Casino menjadi sorotan. Kedua operator kasino Las Vegas ini muncul dalam daftar klien yang diketahui dari penyedia verifikasi identitas IDScan.net — Caesars pada halaman klien/kepercayaan publik IDScan, dan Circa melalui studi kasus tentang pelanggan IDScan yang menggunakan VeriScan milik perusahaan tersebut untuk memindai ID di pintu masuk khusus usia 21 tahun ke atas.
Caesars Entertainment, pemilik Caesars Palace, mengatakan pelanggaran terbesar terhadap scan SIM Amerika Utara ini "seharusnya tidak berdampak" pada pelanggannya. (Gambar: Caesars Entertainment)
Minggu ini, FBI membuka penyelidikan terhadap sebuah pasar dark web besar yang menjual lebih dari 153 juta scan SIM AS dan Kanada yang menurut para peneliti kemungkinan besar dicuri dari IDScan, yang belum menyebutkan perusahaan mana pun sebagai sumber file curian tersebut dan belum mengonfirmasi adanya pelanggaran pada sistemnya hingga Kamis pagi (3 September).
Caesars segera membantah. Dalam sebuah pernyataan, perusahaan tersebut mengatakan bahwa mereka bukan klien IDScan dan tidak lagi menggunakan sistem VeriScan milik perusahaan tersebut sejak Februari 2025, jauh lebih dari setahun sebelum kebocoran ini terungkap.
"Karena kami tidak memiliki akun VeriScan aktif pada saat insiden terjadi dan tidak mengizinkan IDScan.net untuk menyimpan data dari akun kami, perusahaan tersebut telah menginformasikan kepada kami bahwa insiden ini seharusnya tidak berdampak pada Caesars Entertainment," tulis perusahaan tersebut.
Circa belum menanggapi permintaan dari Casino.org untuk memberikan komentar. Jika mereka merespons, kami akan memperbarui berita ini dengan tanggapan mereka.
Titik Nexus
Data tersebut muncul setelah sebuah layanan yang menyebut dirinya Nexus diiklankan di forum kejahatan siber berbahasa Rusia, Exploit, pada hari Senin (31 Agustus). Nexus mengklaim memiliki akses pencarian ke dokumen identitas lebih dari 170 juta orang, termasuk lebih dari 153 juta SIM, lebih dari 10 juta kartu identitas, lebih dari tiga juta dokumen perjalanan dan/atau ID internasional, serta setidaknya 579.000 kartu medis.
Para operator mengatakan data tersebut berasal dari "intrusi aktif" pada penyedia verifikasi identitas besar. Jurnalis keamanan Brian Krebs melacak kemungkinan sumbernya ke IDScan.net yang berbasis di New Orleans setelah mencocokkan stempel waktu dan jenis scan dengan bisnis yang menggunakan sistem perusahaan tersebut.
IDScan mengatakan sedang menyelidiki. Dalam pemberitahuan pelanggan yang dilaporkan setelah artikel Krebs, perusahaan tersebut mengatakan telah menerima informasi yang menunjukkan bahwa informasi tertentu mungkin telah terekspos, bahwa IDScan.net mungkin terlibat, dan bahwa mereka sedang berupaya menentukan apakah terjadi akses tidak sah.
Krebs mengonfirmasi keaslian data tersebut setelah menemukan SIM Virginia miliknya sendiri di antara data tersebut. Stempel waktunya cocok dengan saat ia dan ibunya menyerahkan SIM mereka ke konter Hertz. (Hertz termasuk salah satu merek yang tercantum dalam daftar IDScan sebagai pengguna layanan verifikasinya.)
Beberapa jam setelah laporan Krebs, situs Nexus lenyap dari dark web, halaman login-nya digantikan dengan pesan bahwa layanan tersebut sudah tidak tersedia lagi.
Orang lain juga menemukan data yang cocok. Peneliti keamanan Zach Edwards mengatakan stempel waktu pada SIM-nya sesuai dengan kunjungannya ke dispensari Planet 13 di Las Vegas. Pada tahun 2022, IDScan mengumumkan perjanjian verifikasi identitas eksklusif dengan Planet 13.
Kumpulan data curian tersebut juga mencakup catatan untuk pejabat tinggi AS, termasuk Menteri Pertahanan Pete Hegseth dan seorang asisten direktur FBI. Inventaris yang diiklankan Nexus mencakup ratusan ribu Common Access Card yang digunakan untuk akses Departemen Pertahanan dan fasilitas aman lainnya.
Kantor lapangan FBI di New Orleans membuka penyelidikan pada hari Selasa (1 September).
Bahaya Pencurian Identitas yang Unik
Yang membuat dugaan pelanggaran ini secara khusus berbahaya adalah jenis data yang dicuri. Proses autentikasi IDScan dapat menangkap enam gambar per dokumen: bagian depan dan belakang di bawah cahaya tampak, inframerah, dan ultraviolet. Scan multispektrum ini adalah lapisan autentikasi yang sama yang digunakan bank dan lembaga pemerintah untuk memverifikasi keaslian sebuah dokumen.
File yang bocor dan ditinjau oleh para peneliti mencakup scan inframerah dan ultraviolet, bukan hanya foto biasa.
Memiliki keenam gambar tersebut memberikan penjahat “sidik jari spektral” lengkap dari SIM asli — sebuah template yang mampu mengelabui sistem yang dirancang untuk mendeteksi pemalsuan.
Selain itu, mengganti SIM seseorang tidak akan menghilangkan bahaya pencurian identitas karena nomor SIM baru tidak menghapus nomor lama dari setiap bank, lembaga pemerintah, konter rental, atau sistem verifikasi yang menyimpannya, dan itu juga tidak membatalkan gambar cahaya tampak, inframerah, dan ultraviolet yang telah diambil.
Postingan Caesars Denies Exposure as FBI Probes Theft of 153 Million Driver’s License Scans pertama kali muncul di Casino.org.