Öffentlich wurde der Fall, nachdem Brian Krebs am 1. September berichtet hatte, dass eine Darknet-Plattform namens „Nexus“ Zugang zu mehr als 153 Millionen Führerschein-Scans aus den USA und Kanada anbot. Zum Angebot sollen zudem 10 Millionen Ausweiskarten, 3 Millionen Reisedokumente und 579.000 Gesundheitskarten gehört haben.
Krebs überprüfte Stichproben aus der Datenbank, indem er nach Datensätzen zu sich selbst und zu weiteren Personen suchte, die der Abfrage zugestimmt hatten. Die Herkunft der Daten führte er auf IDScan zurück.
Nachdem die Berichte über den Nexus-Dienst die Runde machten, ging die Plattform offline. Die Kriminellen dürften jedoch weiterhin über die Datenbank verfügen. Seither geben mehrere Akteure an, den gesamten Datenbestand zu verkaufen; BleepingComputer konnte nicht bestätigen, ob diese Angebote echt sind.
Die Mitteilung von IDScan wurde von TechCrunch entdeckt. Sie war zwar am 4. September veröffentlicht, aber mit einer noindex-Anweisung versehen, die Suchmaschinen anwies, die Seite nicht in den Index aufzunehmen.
BleepingComputer hatte bereits am 4. September berichtet, dass gegen IDScan mehrere Klagen eingereicht wurden, nachdem Angreifer das Unternehmen mutmaßlich kompromittiert und Zugang zu der Datenbank mit über 153 Millionen Führerscheinen angeboten hatten. Zu diesem Zeitpunkt hatte IDScan den Vorfall weder öffentlich eingeräumt noch auf Anfragen reagiert.
Das Unternehmen weist darauf hin, dass der vollständige Zugriff auf die offengelegten Informationen eine Zahlung voraussetzte. Dennoch benachrichtige man potenziell betroffene Personen „aus besonderer Vorsicht“ und stelle kostenlose Bonitätsüberwachung sowie Dienste zum Identitätsschutz bereit.
„Als Reaktion auf diesen Vorfall haben wir sofort eine Untersuchung eingeleitet und unsere Richtlinien und Verfahren zur Datensicherheit überprüft“, erklärte IDScan. „Außerdem arbeiten wir mit den Bundesstrafverfolgungsbehörden bei deren Ermittlungen zusammen.“ Das FBI hatte gegenüber BleepingComputer zuvor bestätigt, dass es den Vorfall untersucht.
BleepingComputer hat IDScan mehrfach mit Fragen zu dem Vorfall kontaktiert, bislang jedoch keine Antwort erhalten.