Araç Kiraladım, Saatler İçinde Ehliyetimin Dijital Kopya Satıştaydı

Yakın zamanda, tanınmış bir araç kiralama şirketinden bir SUV kiraladım. Bir çalışanın ehliyetimi taramasıyla saatler içinde, yüksek çözünürlüklü ehliyetimin dijital kopyası “Nexus” adlı yeni bir kimlik hırsızlığı hizmetinde satışa sunuldu.

KrebsOnSecurity tarafından yayınlanan , ehliyetimin de dahil olduğu 153 milyondan fazla ehliyeti kapsayan bu ihlali ortaya koyuyor. Brian Krebs, annesi, FBI‘ın bir yardımcısı ve çeşitli güvenlik araştırmacılarına ait diğer ehliyetler gibi, benim ehliyetimin de dijital kopyalarının hem ön hem de arka yüzlerini gösteren birden fazla görüntü dosyası bulunduğu belirtiliyor. Ek olarak, bu dosyalarda temel görüntü taramalarına ek olarak, kızılötesi ve ultraviyole spektrumlarındaki görüntüler de yer alıyor. Bu ek formatların, sahte ehliyetlerin hologram testlerinden geçmesine olanak tanıdığı düşünülüyor.

Nexus, sadece ehliyet satışının yanı sıra, çeşitli kimlik türlerini de sunuyordu:

• Kimlik kartları
• Seyahat kartları
• Uluslararası sürücü belgesi/kimlik
• Sağlık kartları
• Common Access Card (CAC)
• İkamet kartları
• Çalışma izinleri

Krebs, FBI’ın soruşturma başlattığını bildirdi. Toplu olarak incelenen kayıtların bazıları, “kaynak” olarak “CDL” (ticari sürücü belgesi) kısaltmasını taşıyordu. Diğer kayıtlar ise kaynağın “CAC” (Common Access Card – hükümet binalarına ve güvenli odalara fiziksel erişim sağlayan hükümet tarafından verilen kimlik kartları) olduğunu belirtiyordu. Ayrıca Nexus, marihuana satış yerleri için kullanılan kartların da dijital kopyalarını sağladığını iddia ediyordu. Bir mağdur, Las Vegas’taki Planet13 adlı bir satış noktasını ziyaret ettiğini bildirdi.

Krebs, yeni taramaların genellikle birkaç saat veya en fazla bir gün içinde kullanıcılara sunulduğu gerçeği, Nexus’un bu şirketlerin kullandığı üçüncü taraf tarama hizmetlerinden neredeyse gerçek zamanlı verilere eriştiğinin güçlü bir göstergesi olduğunu belirtiyor. Krebs’e göre, 24 saatlik süre zarfında listelenen ehliyet sayısı yaklaşık 400.000 arttı. Bu da ihlalin devam ettiğini ve yeni ehliyetlerin kısa süre sonra eklendiğini gösteriyor.

Krebs, kamuya açık bilgilere dayanarak, New Orleans merkezli bir kimlik tarama hizmeti olan IDScan.net‘in Planet13 ile özel bir anlaşma yaptığını ve Hertz de dahil olmak üzere 11 şirketin daha bu hizmeti kullandığını tespit etti. IDScan.net, kızılötesi ve ultraviyole spektrumlarını da içeren taramalar yaptığı belirtiliyordu.

IDScan’ın temsilcileri, e-posta yoluyla gönderilen sorulara henüz yanıt vermedi. Bir IDScan sözcüsü, Krebs’e şirketin soruşturma başlattığını bildirdi. Araç kiralama şirketimin temsilcileri de henüz sorulara yanıt vermedi.

Ehliyetimin dijital kopyasının herhangi birinin ödeme yapmaya istekli olduğu bir platformda satışta olması pek rahatlatıcı bir durum değil. Evet, kişisel bilgilerim (geçmiş ve mevcut adresler, sosyal güvenlik numarası, demografik bilgiler vb.) daha önce de açığa çıkmıştı; tıpkı milyarlarca insanınki gibi. Ancak bu ihlal, ultraviyole ve kızılötesi taramaların potansiyel olarak sahte ehliyetlerin hologram testlerini geçmesine olanak tanıması nedeniyle daha da endişe verici.

Neyse ki, KrebsOnSecurity’nin haberinden sonra Nexus kısa süre içinde faaliyetini durdurdu; bu da insanların ehliyetlerinin listede olup olmadığını kontrol etmelerinin bir yolunu ortadan kaldırdı. FBI’ın devam eden soruşturması ise biraz teselli verici.