レンタカーを借りた数時間後に自分の運転免許証がダークウェブで売りに出される

2026年09月03日 21時00分 セキュリティ

個人情報窃盗サービスの「Nexus」が、アメリカとカナダの人々の運転免許証1億5300万枚以上のデジタルスキャン画像を、ダークウェブ上で販売していることが明らかになりました。Nexusはアメリカのルイジアナ州に拠点を置く本人確認サービス企業が収集した画像を盗用している可能性が示唆されており、テクノロジーメディア・Ars Technicaの上級セキュリティ編集者であるダン・グッディン氏は「レンタカーを借りた数時間後に、私の運転免許証が売りに出されていた」と報告しています。

FBI Probes Service Selling 153M+ Drivers Licenses – Krebs on Security

https://krebsonsecurity.com/2026/09/fbi-probes-service-selling-153m-drivers-licenses/

I rented a car, and within hours, my driver's license was for sale - Ars Technica https://arstechnica.com/security/2026/09/my-drivers-license-is-one-of-153-million-for-sale-on-a-new-dark-website/ ブライアン・クレブス氏が運営する独立系のサイバーセキュリティメディアであるKrebs On Securityは、ロシアのサイバー犯罪フォーラムであるExploitのユーザーが、北米地域に住む1億7000万人以上の身分証明書のデジタルスキャン画像を提供するNexusという個人情報窃盗サービスを宣伝していると報じました。 クレブス氏は情報提供者から、自身の運転免許証がExploit上で無料サンプルとして公開されていると伝えられたそうです。クレブス氏が確認したところ、同氏の運転免許証には6つの画像ファイルが含まれており、その内訳は運転免許証の表面と裏面を写した写真が3枚、運転免許証のスキャン画像・赤外線写真・紫外線写真がそれぞれ1枚ずつでした。各画像にはタイムスタンプが付与されており、クレブス氏の運転免許証のスキャン画像に記録されているタイムスタンプは、「同氏が家族の葬儀に出席するためにアメリカ中西部へ飛行機で向かった日付」だったそうです。

Nexusは運転免許証を1億5300万枚以上、身分証明書を1000万枚以上、旅行書類や国際身分証明書を300万枚以上、医療カードを57万9000枚以上保有していると主張していました。

Nexusでは検索パラメーターに何も入力せずに検索を実行すると、1ページ当たり約15件の個人情報が表示され、同様のページが約1150万ページ存在すると表示されます。Nexus上に存在するのは大部分がアメリカ人の身分証明書のスキャン画像で、「カナダ人の運転免許証」で検索すると、約110万件の検索結果が表示されたとクレブス氏は記しています。

Nexusで販売されている身分証明書のスキャン画像には情報源が記されており、「CDL」と記載されているものは「商用運転免許証(commercial drivers license)」、「CAC」と記載されているものは政府機関の建物やセキュリティで保護された部屋への入室を許可する身分証明書である「共通アクセスカード(Common Access Card)」を示していると考えられます。

Nexusはこれらの身分証明書のスキャン画像について、「大手本人確認会社の情報漏えいから入手したものである」と主張しており、この大手本人確認会社の顧客にはフォーチュン500にランクインする企業が複数含まれるそうです。 Nexusで入手可能な運転免許証のスキャン画像には、ピート・ヘグセス国防長官の運転免許証も含まれていることが、Krebs On Securityにより確認されています。

クレブス氏が10人以上の友人の運転免許証がNexusに保存されているかどうかを確認したところ、9人分の運転免許証が見つかったそうです。この運転免許証に付与されているタイムスタンプの日付をそれぞれに確認したところ、全員がタイムスタンプが押された前後のタイミングで旅行していたことが明らかになっています。

クレブス氏は当初、データの流出元は空港関連だと考えていたそうです。しかし、Nexusにはパスポートが含まれていません。協力者にタイムスタンプ前後の行動などを振り返ってもらった結果、「Hertz」でレンタカーを借りたという人が複数いたそうです。クレブス氏は葬儀のためにアメリカ中西部に移動した際、母親と一緒にHertzでレンタカーを借りていたため、Nexusで母親の運転免許証も見つけられないかと検索したところ、母親の運転免許証も発見。母親の運転免許証のタイムスタンプは、クレブス氏の運転免許証のタイムスタンプとわずか数秒しか違わなかったそうで、データの流出元の有力候補としてHertzが浮かび上がります。

また、セキュリティ研究者のザック・エドワーズ氏の身分証明書も、Nexusで販売されていました。エドワーズ氏の身分証明書に付与されているタイムスタンプのタイミングで、同氏はセキュリティカンファレンスのDEFCONへ向かっていたそうです。同氏はレンタカーは利用していないものの、薬局のPlanet13で身分証明書を提示した模様。

Planet13は本人確認サービスプロバイダーのidscan.netと提携しており、idscan.netの顧客にはHertzも含まれています。また、idscan.netは本人確認サービスにおいて、赤外線と紫外線の両方で身分証明書をスキャンすると明かしています。

これらの情報をベースに、クレブス氏はidscan.netに情報漏えいの可能性を通達しています。idscan.netはクレブス氏に対して、記事作成時点では調査中であるとだけ伝えたそうです。なお、ダークウェブ上で1億5000万件超の運転免許証データが販売されていることは、記事作成時点で連邦捜査局(FBI)も認識しており、すでにこの事案について捜査を開始しています。 Krebs On Securityがこの一件について報じたところ、Nexusのウェブサイトはダークウェブ上から消え、それまで利用できていたログインページは「このサービスは現在ご利用いただけません」と表示されるようになったそうです。 Ars Technicaのグッディン氏は、「つい先日、有名なレンタカーサービスでSUVを借りたのですが、従業員が私の運転免許証をスキャンしてから数時間で、私の運転免許証の高解像度スキャン画像がダークウェブ上で販売されていました」と述べ、自身もNexusの被害にあったことを報告しています。