調査報道サイトKrebsOnSecurityは2026年9月1日、闇サイト「Nexus」で米国とカナダの1.53億件を超える運転免許証の画像が販売されていると報じた。KrebsOnSecurityは複数の被害者への聞き取りと画像のタイムスタンプの検証から、窃取元はルイジアナ州に拠点を置く身分証確認サービスIDScan.netである可能性が高いと指摘した。KrebsOnSecurityによると、米連邦捜査局（FBI）ニューオーリンズ支局は同日、IDScan.netを巡る公式な捜査を開始した。
本件は確認が進行中の事案であり、IDScan.netはKrebsOnSecurityに対し「調査中」と回答している。Nexus側はロシア語のサイバー犯罪フォーラム「Exploit」で「1年以上にわたり継続的に窃取している」と主張しており、KrebsOnSecurityは24時間で約40万件増加したことを確認している。漏えいは現在も継続している可能性がある。
1.53億件の免許証画像が闇サイトで販売 — FBIが捜査開始
KrebsOnSecurityによると、Nexusは8月31日にExploitで宣伝が始まり、米国とカナダの運転免許証1.53億件超に加え、身分証明書1,000万件超、渡航文書・国際ID 300万件超、医療カード約57.9万件を保有するとうたっていた。KrebsOnSecurityがNexusを検証したところ、空検索で約11.5万ページ（1ページ約15件）が返り、単純計算で1.53億件規模と整合した。カナダ分は約110万件で、うちオンタリオ州が約47万件を占めた。
Nexusは「Fortune 500企業を含む顧客を持つ大手の身分証確認会社からの継続的な窃取だ」と主張した。KrebsOnSecurityが自身のバージニア州免許証をサンプルとして発見されたことを端緒に調査を進め、タイムスタンプや画像構成（表面・裏面の可視光・赤外線・紫外線の各6ファイル）を分析した。KrebsOnSecurityは対象者9人を含む関係者の協力で、タイムスタンプがレンタカー貸出や店舗での提示日と一致することを確認した。
FBIニューオーリンズ支局は、KrebsOnSecurityが調査を進める過程で情報を把握し、9月1日にIDScan.netを巡る捜査を正式に開始した。KrebsOnSecurityによると、NexusではFBI次長補を含むFBI職員の免許証や、米国防長官を含む政府高官の免許証も販売対象に含まれていた。KrebsOnSecurityの報道後、Nexusはダークウェブ上のログインページを「This service is no longer available」に置き換えて閉鎖した。
IDScan.netが疑われる根拠 — Hertzと大麻販売店での提示が接点
KrebsOnSecurityは、窃取元の特定で最初に空港を疑ったが、パスポートが含まれていないことなどから否定的と判断した。代わりに浮上したのがレンタカーと小売での身分証提示だった。KrebsOnSecurity自身のケースでは、2025年6月に母親と同時にHertzで免許証を提示した際のタイムスタンプが数秒差で一致した。協力者の一人は数カ月にわたりHertzでレンタルを続けていた期間のタイムスタンプと一致し、別の協力者はラスベガス滞在中に大麻販売店「Planet13」でのみ免許証をスキャンされたと証言した。
IDScan.netは、Planet13の全米店舗と独占的な身分証確認契約を結んでいると2022年に発表しており、同社の資料によれば約1,000の販売店で導入されている。IDScan.netは公式サイトで、HertzやTarget、FedEx、Motorola Solutions、金融大手Jack Henryなどへの提供を掲げ、月間2,100万件超の照合を世界2万カ所以上で実施していると説明している。同社の技術は文書を可視光だけでなく赤外線と紫外線でもスキャンしており、Nexusの画像構成と一致する。
KrebsOnSecurityがIDScan.netに照会したところ、同社のマーケティング担当者は「調査中であり、追加情報は共有できないが、提供された情報は調査に役立っている」と回答した。9月2日未明には顧客向けに「潜在的なセキュリティインシデントを調査中」とする通知を送付し、システムの保護、法執行機関との連携、外部フォレンジックの起用、ログ保全などを進めていると説明した。
Caesars Entertainmentは9月2日の追記で、IDScan.netの顧客リストに掲載されていたが2025年2月以降はVeriScanを利用しておらず、当該インシデントの影響はないとKrebsOnSecurityに回答している。
被害の規模と日本への示唆 — 身分証画像は漏えい後に取り消せない
KrebsOnSecurityは、Nexusの掲載数が24時間で約40万件増加したことから、窃取が現在進行形で継続している可能性があると指摘している。同サイトの主張が事実であれば、検証用のデータベースが1年以上にわたり蓄積されてきたことになる。運転免許証の画像はパスワードのように再発行や無効化が容易ではなく、漏えい後はなりすましや口座開設などに悪用される恐れがある。セキュリティ研究者は、ドメスティックバイオレンス被害者や証人保護対象者など、所在を秘匿する必要がある人々への深刻なリスクも指摘している。
KrebsOnSecurityの報道を受けたNCC Groupの助言として、組織は身分証の真正な画像が将来的に漏えいすることを前提に制度を設計すべきだとする指摘も紹介されている。IDScan.netのようなIDV（Identity Verification）ベンダーに身分証データが集中することで、単一の侵害が1億件規模に拡大する構図が露わになった。
IDScan.netはインシデント対応を継続中であり、FBIの捜査も進行中だ。KrebsOnSecurityは本件を「急速に動く事案」と位置づけ、更新が入り次第追記するとしている。
出典
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。