Die von Krebs beschriebene Datenbank enthielt über die Führerschein-Scans hinaus weiteres Material: Scans von zehn Millionen Personalausweisen, mehr als drei Millionen Reisedokumenten und/oder internationalen Ausweisen sowie mindestens 579.000 Gesundheitskarten. Krebs überprüfte Stichproben der Datenbank, indem er auf Nexus nach seinem eigenen Datensatz und den Datensätzen weiterer Personen suchte, die dort zum Verkauf standen. Über diesen Weg führte er die entwendeten Daten auf IDScan zurück.
In seiner Mitteilung formulierte das Unternehmen zurückhaltend: „Während die Untersuchung noch andauert, hat IDScan.net festgestellt, dass ein unbefugter Dritter möglicherweise auf bestimmte Kundeninformationen zugegriffen und/oder diese kopiert hat, die in deren Konten in der IDScan.net-Cloud gespeichert waren." Zu den Datenarten heißt es: „Die Arten von Informationen in den betroffenen Daten können vollständige Namen und Führerschein- oder andere behördlich ausgegebene Ausweisnummern umfassen."
TechCrunch berichtete als erstes Medium über die Sicherheitsmitteilung, mit der IDScan den Vorfall bestätigte. Obwohl die Bekanntmachung schon in der vergangenen Woche auf der Firmenwebsite stand, enthielt sie eine Anweisung an Suchmaschinen, die Seite nicht zu indexieren — was das Auffinden erschwerte.
Gegen das Unternehmen wurden in den letzten Tagen mehrere Klagen eingereicht. In seiner Sicherheitsmitteilung schien IDScan die Tragweite des Vorfalls zu relativieren, indem es darauf verwies, dass die Angreifer die Daten nicht frei zugänglich gemacht hätten: „Obwohl der vollständige Zugang zu den Informationen eine Bezahlung erforderte, benachrichtigen wir aus besonderer Vorsicht potenziell betroffene Personen über diesen Vorfall und stellen kostenlose Dienste zur Kreditüberwachung und zum Identitätsschutz bereit." Auf eine Anfrage um Stellungnahme reagierte IDScan nicht.
Der Fall trifft ein Geschäftsfeld, das ohnehin umstritten ist: Identitätsprüfung steht derzeit besonders in der Diskussion, weil Gesetzgeber und Klagen soziale Netzwerke dazu drängen, das Alter ihrer Nutzer mit staatlichen Ausweisen oder anderen strengen Verfahren zu überprüfen. IDScan selbst wird branchenübergreifend eingesetzt, um behördliche Ausweisdokumente zu authentifizieren — von Cannabis-Läden über Waffenhändler bis zu Banken.