盗難IDサービス「Nexus」が北米の運転免許1.5億件超を販売、FBIが調査

盗難IDサービス「Nexus」が北米の運転免許1.5億件超を販売、FBIが調査

KrebsOnSecurity -September 1, 2026

ダークウェブ上に現れた新たな盗難ID販売サービス「Nexus」で、米国およびカナダに住む人々の運転免許証1億5,300万件超のデジタルスキャンが販売されていたとサイバーセキュリティジャーナリストのBrian Krebs氏が報告。同氏の報道記事が公開されてから間も無くNexusのサイトはダークウェブから姿を消したものの、稼働中にはKrebs氏自身の免許証に加え、ピート・ヘグセス米国防長官やFBI副長官といった著名人の免許証スキャンも売りに出されていたという。

Krebs氏のメディア「KrebsOnSecurity」は、8月31日にある情報筋からNexusに関する情報を入手。この情報筋によれば、ロシア語のサイバー犯罪フォーラム「Exploit」の新規ユーザーがこのアイデンティティ乗っ取りサービスについて投稿し、北米に住む1億7,000万人超の人々の身元証明書のデジタルスキャンへのアクセス権を宣伝していたとされる。Exploit上のスレッドには「無料サンプル」としてKrebs氏自身の免許証が掲載されていたことが同氏の関心を引き、さらなる調査が開始されることとなった。

Nexusは、米国およびカナダに居住する人々の運転免許証1億5,300万件超、IDカード1,000万件超、渡航文書（国際IDが付属する場合もあり）300万件超、および少なくとも579,000件の医療保険カードを販売していると謳っていたとされる。Krebs氏は簡単なチェックにより、この数字が誇張ではなさそうであると結論付けている。また興味深い点として、運転免許証だけでなく、大麻を合法的に購入するためのカード（marijuana dispensary card）も含まれていた点を挙げた。

Nexusの運営者は、こうした身分証明書が「大手の本人確認企業」における進行中の侵害によって供給されていると主張。また、この企業の顧客にはフォーチュン500に名を連ねる企業も複数含まれると述べていた。運営者はさらに、同本人確認企業から新たに盗み出されたデータが随時Nexusに追加されているとも主張。Krebs氏によれば、実際に登録されている免許証の件数の増加が確認できたという。

Krebs氏の運転免許証が収録されたNexusのレコードには、6件の画像ファイル（免許証の表と裏の写真のセットが3組）、基本的なスキャン画像、および同じ画像の赤外線版と紫外線版が含まれていたとされる。各画像ファイルには日付とタイムスタンプが付加されており、Krebs氏の免許証のスキャン画像のタイムスタンプは、同氏が2025年6月に家族の葬儀に出席するため米国中西部へ飛行機で向かった日に一致していた。なお、Nexusにおける1億5,300万件超の免許証スキャンデータのうち、Krebs氏のものを含め、ファイル名に日付とタイムスタンプが付加された6つの画像ファイルが含まれているものは複数ある一方で、すべてのレコードに写真が含まれているわけではなく、写真が含まれているレコードに関しても、一部は、関連するファイル名が表示されていないものもあったとされる。

Krebs氏は、データの流出元を探るため、家族や知人に許可を得て、これらの人々の免許証データがNexusに掲載されていないかを検索。すると、うち9人の免許証データが見つかり、全員が画像ファイルに付記されたタイムスタンプと近い日付けで旅行をしていたことが確認された。

Krebs氏は当初、空港での本人確認手続きが怪しいと睨んだものの、9人のうち1人は長らく空路での移動をしていなかったことなどからこの説は却下に。一方でこの人物は、タイムスタンプの日付けの前後数か月にレンタカー会社Hertzで車を借りていた。また、Hertzで車を借りた人はほかにも2人いたことが判明。加えて、Krebs氏は母親の免許証もNexus内で発見したが、Krebs氏も母親も最近同じタイミングでHertzのレンタカーサービスを利用し、その際運転免許証をスタッフに手渡していた。

一方、同じくNexusで自身の免許証スキャンが見つかったセキュリティ・プライバシー研究者のZach Edwards氏は、スキャンに記されたタイムスタンプの日付けと同じ頃に、セキュリティカンファレンスDEFCONへ参加するためラスベガスへ旅行していたとKrebs氏に語っている。Edwards氏はその際ラスベガスではレンタカーを借りなかったものの、現地の保安検査場、合法大麻の販売店（Planet13）、およびホテルで免許証をスタッフに手渡していた。同氏によると、この3つの中で確実にスキャンが行われたのは大麻販売店のみだったとされる。

Planet13は、カリフォルニア州、フロリダ州、イリノイ州、ネバダ州で店舗を展開する大麻販売店チェーン。Krebs氏によれば、「IDScan.net」というIDプロバイダーが2022年にプレスリリースを発表し、Planet13との間で独占的な本人確認契約を締結したとアナウンスしていたという。また、IDScan.netの「About us」ページには、顧客企業のロゴが複数掲載されており、これにはHertzやPlanet13のほか、Target、Fedex、Jack Henry、Caesars Entertainmentといった企業のものが含まれていた。KrebsOnSecurityからの聞き取りに対し、IDScan.netは本件について調査中であると回答しているものの、公式の声明は発表されていない。

また、Krebs氏がNexusについて調査中であることはFBIの耳にも入ったとされ、同氏は9月1日の午後（現地時間）に、FBIサイバー部門の上級幹部を含む6人ほどのFBI捜査官との電話会議にも参加したという。この会議の中でFBIは、1日の早朝（現地時間）に、ニューオーリンズ支局がIDScan.netに関連すると思われる情報漏洩事件に関する正式な捜査を開始したと明かしている。

なお、1日夜までにNexusのWebサイトはダークウェブから消滅しており、「このサービスは利用できません」というメッセージの付されたログインページに置き換わっていたとされる。

本件についてEdwards氏は、対面やオンラインでのサービス利用において運転免許証の提示が求められる場面が増えるにつれ、こうした機密データを収集する事業者にも、より高い基準が求められるようになるべきだとコメントしている。