Eine Blindsuche ohne Parameter liefert bei Nexus rund 11,5 Millionen Ergebnisseiten mit etwa 15 Treffern je Seite – die Angabe von 153 Millionen Führerscheinen erscheint damit nicht übertrieben. Der Großteil entfällt auf US-Bürger; die Suche nach kanadischen Führerscheinen ergibt etwa 1,1 Millionen Treffer, die meisten davon aus Ontario (473.673 Datensätze). Neben Führerscheinen finden sich auch Ausweise von Cannabis-Verkaufsstellen. Manche Einträge tragen die Quellenangabe „CDL" (vermutlich für gewerbliche Führerscheine), andere „CAC", was auf Common Access Cards der US-Regierung hindeuten könnte.
Die Betreiber behaupten, die Bilder stammten aus einem laufenden Einbruch bei „einem großen Identitätsprüfungsunternehmen", zu dessen Kunden mehrere Fortune-500-Konzerne gehörten. Im Eröffnungsbeitrag heißt es: „Wir exfiltrieren seit über einem Jahr fortlaufend neue Daten in unsere private Datenbank." Datensätze könnten vor dem Kauf mit geschwärzten Angaben vorab eingesehen werden, Kundenfotos würden angezeigt, sofern vorhanden.
Jeder Datensatz enthält teils sechs Bilddateien: Vorder- und Rückseite jeweils als einfacher Scan sowie in Infrarot- und Ultraviolett-Aufnahmen, versehen mit Datum und Zeitstempel. Neun Bekannte und Familienmitglieder, die ihre Einwilligung zur Suche gaben und deren Führerscheine auffindbar waren, bestätigten Reisen an oder nahe den jeweiligen Stempeldaten. Aus Mietwagenunterlagen schließt KrebsOnSecurity, dass die Zeitstempel in GMT gesetzt sind.
Die zunächst naheliegende Flughafen-Theorie zerbrach daran, dass keine Reisepässe im Datensatz enthalten sind und nicht alle Betroffenen am Reisetag ihren Führerschein am Flughafen vorgezeigt hatten. Eine Person war gar nicht geflogen, hatte aber bei Hertz ein Fahrzeug gemietet. Zwei Bundesbedienstete wiesen sich an der Sicherheitskontrolle mit anderen Dokumenten aus, legten ihren Führerschein aber später bei der Fahrzeuganmietung – ebenfalls bei Hertz – vor. Auffällig auch: Der Zeitstempel auf dem Führerschein der Mutter des Autors liegt nur Sekunden neben dessen eigenem – beide reichten ihre Dokumente gleichzeitig am Hertz-Schalter ein. Hertz wurde um Stellungnahme gebeten.
Der Sicherheits- und Datenschutzforscher Zach Edwards, dessen Führerschein ebenfalls angeboten wird, ordnet seinen Zeitstempel einer Reise zur DEFCON nach Las Vegas zu. Ein Auto mietete er dort nicht; seinen Ausweis gab er an der TSA-Kontrolle, im Hotel Aria und in der Cannabis-Verkaufsstelle Planet13 heraus – gescannt wurde er sicher nur bei Planet13. Die Kette Planet13 hatte 2022 gemeinsam mit dem in New Orleans ansässigen Anbieter idscan.net eine exklusive Vereinbarung zur Identitätsprüfung bekanntgegeben. IDScan prüft nach eigenen Angaben Ausweise für mehr als 1.000 Cannabis-Verkaufsstellen in 19 US-Bundesstaaten, führt monatlich über 21 Millionen Verifizierungen an mehr als 20.000 Standorten durch und scannt Dokumente laut eigener Dokumentation mit Infrarot- und Ultraviolettlicht. Auf der Vertrauensseite des Unternehmens werden unter anderem Hertz, Target, Fedex, Motorola Solutions, Jack Henry und Caesars Entertainment als Kunden genannt.
„Ich kann derzeit keine weiteren Informationen weitergeben, aber Ihre Hinweise waren willkommen und hilfreich für die Untersuchung unseres Teams", schrieb Jillian Kossman von idscan.net. Am Nachmittag wurde der Autor in eine Telefonkonferenz mit einem halben Dutzend FBI-Beamten einschließlich Führungskräften der Cyber-Abteilung geschaltet; dabei teilte die Behörde mit, das Büro in New Orleans habe die Untersuchung eröffnet.
Larry Baldwin, leitender Intelligence-Forscher bei Cybera, fand einen Scan seines eigenen Führerscheins mit Zeitstempeln, die zu einer Hertz-Anmietung im Urlaub passen. Er verweist darauf, dass Führerscheine üblicherweise als Identitätsnachweis bei der Eröffnung neuer Kreditlinien dienen, und warnt vor Gefahren für Menschen, die nicht gefunden werden wollen – etwa Betroffene häuslicher Gewalt oder Personen im Zeugenschutzprogramm, die ihr Aussehen kaum so verändern können, dass heutige KI-gestützte Bildabgleichswerkzeuge getäuscht werden. „Gerade wenn es so aussieht, als kämen wir bei besseren Authentifizierungskontrollen durch Führerscheinprüfsysteme voran, passiert das – und genau die Grundlage dieser Verbesserungen ist kompromittiert", sagte Baldwin.