Hacker hatten über ein Jahr lang Live-Zugriff auf jeden von IDScan.net gescannten Ausweis
Hackers Had a Live Feed of Every ID Verification Company Scanned for over a Year
Ein massiver Datenleak bei IDScan.net, einem führenden Anbieter von Identitäts- und Altersverifikation, hat über 153 Millionen Führerschein-Scans aus den USA und Kanada offengelegt. Die Hacker hinter dem Dienst „Nexus“ exfiltrierten über ein Jahr lang kontinuierlich Daten in Echtzeit, ohne dass das Unternehmen es bemerkte. Betroffen sind Kunden wie Hertz, FedEx und Target sowie tausende Apotheken. Die FBI-Ermittlungen laufen. Der Vorfall zeigt erneut, dass Altersverifikation ein unkalkulierbares Datenschutzrisiko darstellt.
„Wir haben über ein Jahr lang kontinuierlich neue Daten in unsere private Datenbank exfiltriert“, prahlte der Dienst in seinem Einführungsbeitrag auf Exploit.
- xvilka
Die ursprüngliche Idee der ID-Verifizierung war ohnehin von Grund auf fehlerhaft. Der einzig sichere Weg ist eine Vertrauenskette bzw. ein Vertrauensbaum, z.B. mit PKI, bei der man genau für diesen einen Dienst ein Zertifikat erzeugen kann, während man seinen Root-Key sicher aufbewahrt. Im Falle eines Lecks verliert man dann höchstens einen bestimmten Schlüssel für einen bestimmten Dienst, der sofort widerrufen werden kann. Man könnte sogar Zero-Knowledge-Beweise für bestimmte Eigenschaften anwenden (z.B. ob die Person einen Führerschein hat oder nicht), ohne das Konto zu de-anonymisieren. In dem seltenen Fall, dass der Root-Key leakt, sollte man physisch zur Behörde gehen und einen neuen erstellen können, während man den alten Schlüssel widerruft. Ich sehe keine besseren Alternativen als diese.
- piva00
Brian Krebs' Artikel ist meiner Meinung nach eine viel bessere Lektüre für diese Geschichte[0].
[0] https://krebsonsecurity.com/2026/09/fbi-probes-service-selli...
- jonplackett
Wir haben zu viele nicht-technische Leute, die für Dinge verantwortlich sind und Entscheidungen nur auf der Grundlage von Politik und magischem Denken darüber treffen, was möglich ist.
„Macht einfach die Verschlüsselung sicher, aber so, dass wir sie lesen können.“
„Überprüft einfach die Ausweise aller, aber macht es absolut sicher.“
- padjo
Komisch, ich habe gerade den Pilotversuch der irischen Regierungs-Digital-Wallet getestet. Das scheint definitiv der richtige Weg zu sein, wenn wir die Identitätsprüfung durchführen wollen. Ich hätte es lieber, wenn die Regierung das vermittelt, als ein Haufen beliebiger Dritter.
- pelagicAustral
Ich frage mich, ob ich meinen eigenen Führerschein kaufen kann, da ich ihn verloren habe und jetzt eine Kopie brauche, um Papierkram zu erledigen! Hacker, bitte!
- lrvick
Wenn Sie in Kalifornien sind, verdient das DMV zig Millionen Dollar pro Jahr mit dem Verkauf aller Daten, die Sie dem DMV geben. Deshalb gebe ich ihnen eine Postfachadresse.
- kleiba2
Und wieder wird es keine finanziellen Konsequenzen für die Unternehmen geben, die es versäumt haben, unsere privaten Daten zu schützen.
- mawadev
Wie genau funktioniert das? Wie kann man einen Live-Feed an den Erkennungssystemen vorbeischmuggeln? Das ist für mich unbegreiflich, wenn man bedenkt, dass es sich um hochgradig regulierte und sensible Daten handelt. Sind es einfach offene Ports, die die ganze Zeit das senden, was sie nicht senden sollten, oder was?