Nexus продаёт 153 миллиона водительских прав — и время на фото совпадает с днём, когда вы брали машину напрокат
Сервис в даркнете предлагает сканы документов больше 153 миллионов человек из США и Канады — лицевую сторону, оборот, инфракрасный и ультрафиолетовый снимки, а дата зашита прямо в имя файла. След ведёт к стойке проката машин.
В июне прошлого года мужчина прилетел на Средний Запад США — на похороны родственника. Приземлился, взял машину напрокат. Протянул права клерку на стойке Hertz. Она подержала их за прилавком пару минут, пока подписывались бумаги, и вернула обратно. Больше ничего не произошло: ни один сайт, ни один пароль, ни одна фишинговая ссылка.
На этой неделе фото этих прав — лицевая сторона, оборот, плюс инфракрасный и ультрафиолетовый снимки того же документа — всплыло в продаже на сервисе даркнета Nexus, а к имени файла была приклеена дата и время той самой аренды. Мужчина — репортёр KrebsOnSecurity, который и раскопал эту историю; его права из Вирджинии продавец выложил бесплатным образцом в первом посте на русскоязычном форуме киберпреступников Exploit. Тот же сервис заявляет о более чем 153 миллионах водительских прав из США и Канады, свыше 10 миллионов ID-карт, более 3 миллионов проездных документов и как минимум 579 000 медицинских карт. Пустой поиск без параметров выдаёт около 11,5 миллиона страниц результатов. Один из документов принадлежит министру обороны США Питу Хегсету.
1 сентября новоорлеанское отделение ФБР официально начало расследование — откуда взялись эти снимки. Журналисты KrebsOnSecurity указывают на компанию из Луизианы, которая занимается проверкой личности и известна по всей отрасли. Компания — idscan.net из Нового Орлеана — говорит, что тоже разбирается в ситуации.
Это не та утечка, к которой все давно привыкли пожимать плечами. Наружу утекли не списки почтовых адресов с захешированными паролями — а фотография самого документа, в том самом виде, в каком её видит машина, решающая, настоящие права или нет. В документации idscan.net сказано прямо: технология сканирует права и в инфракрасном, и в ультрафиолетовом свете. В продаваемых записях — шесть файлов на человека: три пары «лицо-оборот», один обычный скан, один инфракрасный, один ультрафиолетовый. Слои защиты, придуманные специально для того, чтобы ловить подделки, теперь, судя по всему, сами в меню продавца.
Пароль меняется за тридцать секунд. Лицо — не меняется никогда.
А дальше начинается то, что превращает утечку данных в нечто похожее на слежку. У каждого файла в имени — дата и время, часовой пояс похож на GMT. Репортёр попросил больше десятка друзей и родственников разрешить проверить их имена; девятеро нашлись, и у каждого дата в файле совпала с их поездкой день в день. Один вообще не летал — просто держал машину Hertz несколько месяцев примерно в это время. Двое — федеральные служащие, которые в аэропорту показывали другое удостоверение, а по прилёте отдавали права на стойке Hertz. То есть в базе не просто «кто вы». В ней ещё и «где вы были и когда».
И кран, похоже, не перекрыт. За сутки число выложенных прав выросло почти на 400 000. Продавцы прямо написали в объявлении: «Мы больше года непрерывно выкачиваем новые данные в свою частную базу». По их словам, источник — действующая утечка у «крупной компании по верификации личности», среди клиентов которой — несколько компаний из списка Fortune 500. Если это правда, утечка — не прошедшее событие, которое нужно просто убрать за собой. Это подписка.
Это касается любого, кто хоть раз протягивал пластиковую карту незнакомому человеку за стойкой — то есть почти всех, и попасть в эту базу можно бесплатно. Не нужен счёт в банке, портфель ценных бумаг или хоть один сатоши в крипте. 24-летний парень, который брал машину для поездки, показывал права на входе в диспансер в Лас-Вегасе или заселялся в отель, оказывается ровно в том же положении, что и владелец дома со сбережениями: скан сняли один раз и хранили там, где ни тот, ни другой не выбирали. Исследователь безопасности Зак Эдвардс нашёл в продаже свои собственные права с меткой времени прямо посреди своей поездки на DEFCON в прошлом месяце; машину он не брал, но показывал документ сотруднику TSA, в отеле и в диспансере — и единственное место, где он точно знает, что права прогнали через сканер, это диспансер, магазин сети Planet13. Есть и канадцы: около 1,1 миллиона прав, из них 473 673 — из Онтарио. И список не сортируется по важности: права министра обороны лежат в том же самом поисковом индексе, что и права студента.
Три конкретные вещи, за которыми стоит следить, и ни у одной нет объявленного срока. Первое: новоорлеанское отделение ФБР открыло расследование 1 сентября — когда оно отчитается, не сказано. Второе: idscan.net — компания, которая заявляет о более чем 21 миллионе проверок в месяц в более чем 20 000 точек по всему миру и на странице «доверие» перечисляет Hertz, Target, FedEx, Motorola Solutions, Jack Henry и Caesars Entertainment — не ответила на конкретные вопросы. Джиллиан Коссман, руководитель по маркетингу и операциям в компании, написала: «На данный момент я не могу поделиться дополнительной информацией, но обновления, которые вы предоставили, были кстати и помогли команде в расследовании». Третье: у Hertz попросили комментарий — ответа не последовало; KrebsOnSecurity обещали обновить материал, если он появится. Самое простое число, за которым нужно следить, — счётчик на самом сервисе: за один день он вырос почти на 400 000 прав. Если рост продолжится — значит, дыру так и не закрыли.
Репортёр нашёл там же и права своей матери. Метки времени у них расходятся на несколько секунд — потому что оба протянули свои права одному и тому же клерку в одну и ту же минуту. Она говорит, что в тот день показывала документ только один раз, именно на этой стойке. Два человека, одна стойка, одна минута в июне. Теперь это можно найти по поиску, и никто и никогда не спрашивал ни её, ни его, сколько времени будут храниться эти фотографии.
Источники: Krebs on Security, «FBI Probes Service Selling 153M+ Drivers Licenses», 1 сентября 2026.
153 миллиона сканов прав — с фото, инфракрасными и ультрафиолетовыми снимками и датами, привязанными к конкретным поездкам, — продаются на форуме в даркнете, а утечка, похоже, идёт из компании, которая проверяла личность людей на стойках проката машин: показать однажды свои права там довелось почти каждому, независимо от того, был ли он хоть раз связан с криптой.
Материал написала ИИ-редакция THE TELL. как мы работаем · исправления