ادعای نفوذ به IDScan و افشای اطلاعات ۱۵۳ میلیون گواهینامه

پس از آنکه هکرها ظاهراً به سامانه شرکت احراز هویت IDScan نفوذ کرده و اطلاعات بیش از ۱۵۳ میلیون گواهینامه رانندگی را برای فروش عرضه کردند، چندین شکایت علیه این شرکت مطرح شده است.

چند مؤسسه حقوقی، از جمله Markovits, Stock & DeMarco و Hall Attorneys، نیز تحقیقات خود را درباره احتمال طرح دعوای گروهی در ارتباط با حادثه امنیتی گزارش‌شده در IDScan آغاز کرده‌اند.

برایان کربس در ابتدا در تاریخ اول سپتامبر گزارش داد که یک سرویس سرقت هویت در دارک‌وب با نام «Nexus»، دسترسی به بیش از ۱۵۳ میلیون تصویر اسکن‌شده از گواهینامه‌های رانندگی در آمریکا و کانادا، ۱۰ میلیون کارت شناسایی، ۳ میلیون سند مسافرتی و ۵۷۹ هزار کارت پزشکی را تبلیغ کرده است.

کربس با جست‌وجو در پایگاه داده و بررسی سوابق مربوط به خود و چند فرد دیگر که برای انجام این بررسی‌ها رضایت داده بودند، صحت نمونه‌های منتشرشده را تأیید کرد و منشأ این نشت اطلاعات را به IDScan نسبت داد.

IDScan یک شرکت فعال در حوزه فناوری احراز هویت است که راهکارهای سخت‌افزاری و نرم‌افزاری مورد نیاز کسب‌وکارها را برای اسکن، احراز اصالت و استخراج اطلاعات از مدارک هویتی صادرشده توسط دولت‌ها ارائه می‌کند.

سامانه‌های این شرکت در سراسر آمریکا در مجموعه‌هایی مانند شرکت‌های اجاره خودرو، فروشگاه‌های خرده‌فروشی، فروشگاه‌های اسلحه، مؤسسات مالی، مراکز عرضه محصولات کانابیس و مراکز ارائه خدمات اقامتی و پذیرایی مورد استفاده قرار می‌گیرند.

این شرکت تاکنون هیچ بیانیه‌ای درباره این ادعاها منتشر نکرده و به درخواست‌های BleepingComputer برای ارائه توضیحات نیز پاسخی نداده است.

در حال حاضر مشخص نیست که آیا سامانه‌های IDScan واقعاً مورد نفوذ قرار گرفته‌اند یا چه تعداد از افراد تحت تأثیر این حادثه قرار گرفته‌اند.

کربس همچنین گزارش داد که دفتر FBI در نیواورلئان تحقیقات درباره این حادثه را آغاز کرده است. خبرگزاری رویترز نیز به‌طور مستقل این موضوع را تأیید کرده است.

FBI در پاسخ به BleepingComputer تأیید کرده که این حادثه را در دست بررسی دارد. با این حال، این نهاد فدرال به دلیل ادامه داشتن تحقیقات از ارائه توضیحات بیشتر خودداری کرده است.

سرویس غیرقانونی Nexus دیگر در دسترس نیست، اما مجرمان سایبری همچنان به پایگاه داده دسترسی دارند.

BleepingComputer دریافته است که این سرویس شامل مدارکی متعلق به پیت هگست، وزیر دفاع آمریکا، و همچنین یکی از معاونان مدیر FBI بوده است، هرچند این اطلاعات توسط این رسانه قابل تأیید نیست.

این شکایت‌ها در ایالت لوئیزیانا، محل استقرار IDScan، ثبت شده‌اند. شاکیان مدعی هستند که IDScan نتوانسته از اطلاعات مشتریان خود، از جمله شرکت بین‌المللی اجاره خودرو Hertz، به‌درستی محافظت کند.

بر اساس اعلام مؤسسه حقوقی Markovits, Stock & DeMarco، IDScan از حدود اول سپتامبر اطلاع‌رسانی به برخی از مشتریان تجاری خود را آغاز کرده است.

این مؤسسه حقوقی می‌گوید افرادی که مدارک هویتی آن‌ها از طریق کسب‌وکارهای استفاده‌کننده از سامانه‌های IDScan اسکن شده است، ممکن است تحت تأثیر این حادثه قرار گرفته باشند. این شرکت حقوقی همچنین در حال شناسایی افراد احتمالی برای پیوستن به یک پرونده قضایی گروهی است.

با توجه به ابعاد احتمالی این حادثه، ممکن است در ادامه شکایت‌های بیشتری، از جمله دعاوی گروهی، مطرح شود. همچنین این احتمال وجود دارد که پرونده‌های مرتبط در نهایت در قالب یک دعوای چندمنطقه‌ای (Multidistrict Litigation یا MDL) با یکدیگر تجمیع شوند.

دادستان‌های کل ایالت‌ها و نهادهای نظارتی فدرال نیز ممکن است تحقیقات یا اقدامات قانونی مستقلی را آغاز کنند. نمونه‌هایی از چنین واکنش‌هایی در پرونده‌های افشای گسترده اطلاعات در سال‌های اخیر، از جمله حوادث مرتبط با ۲۳andMe، Marriott و Equifax، مشاهده شده است.