Nexus. Sto pięćdziesiąt trzy miliony skanów praw jazdy

Nie będzie tu adresu serwisu, linku do forum ani instrukcji, jak sprawdzić własny skan. Nexus zniknął w kilka godzin po tekście Briana Krebsa. Nawet gdyby nadal stał, nie zamierzam robić z tego wyszukiwarki dokumentów. Interesuje mnie, skąd te obrazy w ogóle wzięły się w jednym katalogu.

Ogłoszenie z 31 sierpnia

31 sierpnia 2026 na rosyjskojęzycznym forum Exploit pojawił się nowy nick z ofertą. Serwis Nexus, skany dokumentów tożsamości z Ameryki Północnej. Próbka w wątku: prawo jazdy Krebsa z Wirginii. Źródło podesłało mu to dlatego, że ktoś uznał za dowcip wystawić kartę dziennikarza od wycieków jako darmową próbkę.

Operatorzy podawali ponad 153 miliony praw jazdy z USA i Kanady, ponad 10 milionów innych dowodów, ponad 3 miliony dokumentów podróżnych albo zagranicznych ID i co najmniej 579 tysięcy kart medycznych, w tym kart z dyspensariów marihuany. Krebs sprawdził skalę pustym wyszukiwaniem: około 11,5 miliona stron wyników po mniej więcej 15 rekordów. Kanada to około 1,1 miliona, z czego Ontario blisko 474 tysiące. Reszta to Stany.

W rekordach pojawiały się też oznaczenia źródła. Część jako “CDL”, pewnie commercial driver’s license. Część jako “CAC”. Krebs zgaduje Common Access Card, czyli służbowe ID do budynków federalnych. Sam to zaznacza jako przypuszczenie.

Sprzedawcy pisali o “major identity verification company” z klientami z Fortune 500 i o tym, że dane ściągają od ponad roku. W ciągu doby, którą Krebs obserwował, licznik praw jazdy urósł o prawie 400 tysięcy. To ich własny marketing plus to, co sam zobaczył na liczniku. Nie jest to jeszcze dowód, że jedna firma miała żywy wyciek przez dwanaście miesięcy. IDScan.net tego nie potwierdziło.

Sześć plików i znacznik czasu

Rekord Krebsa miał sześć obrazków: przód i tył w zwykłym skanie, w podczerwieni i w ultrafiolecie. Do nazw plików dopisany był znacznik czasu z czerwca 2025, z lotu na pogrzeb na Środkowym Zachodzie.

Krebs pytał rodzinę i znajomych. Dziewięć osób, których karty znalazł, potwierdziło podróż albo wynajem w okolicy tych dat. Po zestawieniu z rachunkami z Hertz strefa wyglądała na GMT. Część rekordów była bez zdjęć. W części ze zdjęciami brakowało nazw plików.

Najpierw myślał o lotnisku. W zbiorze nie było paszportów, a część osób w ogóle nie leciała. Sam Krebs na Reagan National pokazał paszport, bo nie miał jeszcze Real ID. Prawo jazdy oddał później, przy wynajmie. Prawo jazdy matki leżało obok, ze znacznikami różniącymi się o kilka sekund. Tego dnia, mówiła, kartę dała tylko Hertzowi.

Krebs nie pamięta, czy wkładali plastik do czytnika. Pamięta, że lada trzymała karty kilka minut, podczas gdy oni podpisywali papiery. Hertzowi wysłał pytania. W chwili publikacji odpowiedzi nie było.

Planet13 i strona zaufania

Zach Edwards, badacz prywatności, miał skan ze znacznikiem z pobytu w Las Vegas na DEF CON. Auta nie wynajmował. Kartę pokazał na TSA, w hotelu Aria i w dyspensarium Planet13. Jedyny pewny skan urządzeniem: dyspensarium. Żeby wejść, przechodzi się przez czerwoną budkę telefoniczną. Edwards zrobił zdjęcie.

W 2022 IDScan.net ogłosiło wyłączną umowę z Planet13 w całych Stanach. Firma chwali się też obsługą ponad tysiąca dyspensariów w 19 stanach. Edwards nie wynajmował Hertza, a jego znacznik i tak pasuje do wizyty w miejscu, które publicznie korzysta z IDScan.

IDScan.net z Luizjany sprzedaje weryfikację tożsamości, kontrolę wieku na ladzie, zamki na ID. Na stronie zaufania wymienia Hertz, Target, FedEx, Motorola Solutions, Jack Henry i Caesars Entertainment. 2 września rzecznik Caesars odparł, że kasyno nie jest klientem od lutego 2025, konta VeriScan były nieaktywne, a IDScan miało powiedzieć, że incydent ich nie dotyczy. Lista marketingowa i lista aktywnych umów to dwie różne rzeczy.

Dokumentacja IDScan opisuje skan w podczerwieni i ultrafiolecie. To samo widać w części rekordów Nexusa. Firma podaje ponad 21 milionów weryfikacji miesięcznie i ponad 20 tysięcy lokalizacji. To liczby z broszury.

Jillian Kossman z IDScan napisała Krebsowi, że na razie nie może podać nic więcej, ale jego ustalenia pomagają ich śledztwu. Oficjalnego potwierdzenia wycieku nie było.

Śledztwo i komunikat “już nie działa”

W serwisie Nexus było między innymi prawo jazdy asystenta dyrektora FBI. Krebs nie znalazł Kash Patela. Znalazł za to, według zdjęcia w tekście, prawo jazdy Pete’a Hegsetha, sekretarza obrony USA. FBI New Orleans otworzyło postępowanie w sprawie prawdopodobnego wycieku z IDScan. Krebs usłyszał to na telekonferencji z agentami z Cyber Division FBI.

Krótko po publikacji Krebsa strona Nexusa zniknęła. Zamiast logowania: “This service is no longer available.” Kopia danych mogła zejść z serwisu dużo wcześniej. Zniknięcie sklepu nie kasuje plików u kogoś, kto zdążył kupić.

Larry Baldwin z firmy Cybera miał własny skan ze znacznikiem z wynajmu Hertza. Prawo jazdy nadal otwiera nową linię kredytową. Baldwin dodaje ludzi, którzy nie chcą być znalezieni, w tym federalny program ochrony świadków. Dzisiejsze dopasowanie twarzy nie potrzebuje, żebyś sam wrzucił selfie.

Edwards mówi o bramkach wieku i o tym, że kolejne usługi żądają skanu “dla dzieci”, a obrazek ląduje u kolejnej firmy. Nadzoru nad tymi pośrednikami jest mało. Techdirt zdążył już zrobić z tego kazanie o KOSA. To komentarz. Nie wiem, czy wyciek z IDScan trwał przez rok.

Kto trzyma plik po wizycie

Nie rozstrzygam, czy IDScan.net jest jedynym źródłem. Krebs złożył trop z Hertz i Planet13, plus format skanów z dokumentacji IDScan. Firma bada sprawę. FBI otworzyło postępowanie. Tyle wiemy na 4 września 2026.

W Polsce nikt poważny nie twierdzi, że twoje zdjęcie dowodu siedzi w tym konkretnym katalogu. W hotelu też biorą plastik na chwilę. Plik zostaje u operatora skanera, którego z lady nie widać.

Nie namawiam, żeby odmawiać dowodu, gdy prawo albo umowa tego wymaga. Skan z lady i tak nie kończy się na ladzie. Nexus pokazał to w skali, której zwykle nie widać z kolejki.