北米の運転免許証スキャンの流出としては過去最大規模とされる事件が、シーザーズ・エンターテインメントとサーカ・カジノを注目の的にしている。両ラスベガスのカジノ運営会社は、本人確認プロバイダーIDScan.netの既知顧客リストに名を連ねていた——シーザーズはIDScanの公開クライアント/信頼ページに、サーカは21歳以上入場口でのID読み取りに同社のVeriScanを使用する顧客の事例研究に登場している。
シーザーズ・パレスを所有するシーザーズ・エンターテインメントは、北米の運転免許証スキャンの過去最大規模の流出について「顧客への影響はないはずだ」と述べた。（画像：Caesars Entertainment）
今週、FBIは1億5300万件を超える米国およびカナダの運転免許証スキャンを販売する大規模なダークウェブ市場について捜査を開始した。研究者らは、これらのデータがIDScanから盗まれた可能性が高いとしているが、IDScanは盗まれたファイルの出所として特定の企業名を挙げておらず、木曜午前（9月3日）時点で自社システムへの侵害を確認していない。
シーザーズは即座に反論した。同社は声明で、IDScanの顧客であったことはなく、侵害が明らかになる1年以上前の2025年2月以降、同社のVeriScanシステムを使用していないと述べた。
「事件発生時に有効なVeriScanアカウントを保有しておらず、IDScan.netに当社アカウントのデータ保持を許可していなかったため、同社は今回の事件がシーザーズ・エンターテインメントに影響を及ぼすことはないはずだと当社に伝えてきました」と同社は記している。
サーカはCasino.orgからのコメント要請に応じていない。回答があれば、本記事を更新する。
Nexus Point
この記録は、ロシア語圏のサイバー犯罪フォーラムExploitで月曜日（8月31日）に「Nexus」と名乗るサービスが宣伝されたことで表面化した。Nexusは、1億5300万件を超える運転免許証、1000万件を超える身分証明書、300万件を超える渡航書類および/または国際ID、そして少なくとも57万9000件の医療カードを含む、1億7000万人分の身分証明書への検索可能なアクセスを主張していた。
運営者らは、このデータが大手本人確認プロバイダーへの「進行中の侵入」によって得られたと述べた。セキュリティジャーナリストのBrian Krebs氏は、タイムスタンプとスキャンの種類を同社のシステムを利用する企業と照合し、ニューオーリンズを拠点とするIDScan.netを可能性の高い出所として特定した。
IDScanは調査中であるとしている。Krebs氏の記事後に報じられた顧客向け通知の中で、同社は特定の情報が漏洩した可能性を示唆する情報を受け取ったこと、IDScan.netが関与している可能性があること、そして不正アクセスが発生したかどうかを確認するために対応中であることを述べた。
Krebs氏は、記録の中に自身のバージニア州運転免許証を発見し、データの真正性を確認した。タイムスタンプは、彼と母親がハーツのカウンターで免許証を提示した瞬間と一致していた（ハーツは、IDScanが自社の本人確認サービスを利用しているとリストに挙げているブランドの一つである）。
Krebs氏の報道から数時間のうちに、Nexusのサイトはダークウェブから姿を消し、ログインページはサービスが利用不可能になったというメッセージに置き換わった。
他の人々も一致する記録を発見した。セキュリティ研究者のZach Edwards氏は、自身の免許証のタイムスタンプがPlanet 13のラスベガス店舗への訪問と一致していたと述べた。2022年、IDScanはPlanet 13との独占的な本人確認契約を発表していた。
盗まれたデータセットには、国防長官ピート・ヘグセス氏やFBI副本部長を含む米国高官の記録も含まれていた。Nexusが宣伝していた在庫には、国防総省やその他の機密施設アクセスに使用される共通アクセスカード（Common Access Card）数十万枚が含まれていた。
FBIニューオーリンズ支局は、火曜日（9月1日）に捜査を開始した。
独特なID盗難の危険性
この疑惑の侵害を特に悪質なものにしているのは、盗まれたデータの種類である。IDScanの認証プロセスは、1つの書類につき最大6枚の画像を取得できる——表面と裏面をそれぞれ可視光、赤外線、紫外線で撮影したものだ。これらのマルチスペクトルスキャンは、銀行や政府機関が書類の真正性を確認する際に使用するのと同じ認証層である。
研究者が確認した流出ファイルには、通常の写真だけでなく、赤外線および紫外線スキャンも含まれていた。
6枚すべての画像を保有することは、犯罪者に本物の免許証の完全な「スペクトル指紋」を与えることになる——これは、偽造を検出するために設計されたシステムそのものを打ち破ることができるテンプレートである。
さらに、運転免許証を再発行しても、ID盗難の危険性がなくなるわけではない。新しい免許証番号は、それを保管しているすべての銀行、政府機関、レンタルカウンター、確認システムから古い番号を消去するわけではなく、また撮影済みの可視光、赤外線、紫外線画像を無効化するわけでもないからだ。
この記事Caesars Denies Exposure as FBI Probes Theft of 153 Million Driver's License Scansは、Casino.orgに最初に掲載されたものです。