FBI bada usługę sprzedającą ponad 153 mln skanów praw jazdy z USA i Kanady

Wprowadzenie do problemu

Na początku września 2026 roku ujawniono działalność usługi funkcjonującej w cyberprzestępczym ekosystemie, która oferowała sprzedaż ogromnej bazy skanów dokumentów tożsamości z USA i Kanady. Sprawa budzi szczególne obawy, ponieważ nie chodzi wyłącznie o wyciek danych osobowych, ale o kompromitację pełnych obrazów dokumentów używanych w procesach weryfikacji tożsamości.

W praktyce oznacza to ekspozycję materiałów wykorzystywanych przez systemy KYC, narzędzia antyfraudowe i rozwiązania do potwierdzania autentyczności dokumentów. Tego typu dane mają znacznie większą wartość operacyjną dla przestępców niż same rekordy tekstowe.

W skrócie

Na sprzedaż oferowano ponad 153 mln skanów praw jazdy.
Baza obejmowała również ponad 10 mln innych kart identyfikacyjnych oraz ponad 3 mln dokumentów podróży i identyfikatorów międzynarodowych.
W zbiorze znajdowały się także setki tysięcy kart medycznych.
Charakter danych sugeruje długotrwałą i systematyczną eksfiltrację.
Sprawą zajęły się amerykańskie organy ścigania, w tym FBI.

Kontekst i historia incydentu

Incydent został nagłośniony 1 września 2026 roku, gdy opisano usługę reklamowaną na rosyjskojęzycznym forum cyberprzestępczym. Operatorzy twierdzili, że od ponad roku regularnie pozyskują nowe rekordy z dużej firmy zajmującej się weryfikacją tożsamości.

To istotny sygnał dla rynku, ponieważ zewnętrzne platformy identity verification są dziś powszechnie wykorzystywane przez wypożyczalnie samochodów, handel detaliczny, branżę hospitality, sektor finansowy oraz firmy wymagające potwierdzenia wieku lub tożsamości klientów. W takim modelu ryzyko bezpieczeństwa nie kończy się na organizacji zbierającej dokument, lecz obejmuje cały łańcuch dostaw technologicznych.

Dodatkowe poszlaki wskazywały, że część rekordów mogła być powiązana z rzeczywistymi procesami wynajmu aut, obsługą klientów w punktach sprzedaży oraz innymi sytuacjami, w których dokument tożsamości był elektronicznie skanowany. To wzmacnia hipotezę, że źródłem danych było produkcyjne środowisko wykorzystywane komercyjnie.

Analiza techniczna

Najbardziej niepokojącym aspektem incydentu jest struktura samych rekordów. Część wpisów miała zawierać po sześć plików graficznych przypisanych do jednego dokumentu: awers i rewers w świetle białym, a także odpowiedniki wykonane w podczerwieni i ultrafiolecie.

Taki zestaw nie jest typowy dla zwykłego zdjęcia wykonanego smartfonem ani dla standardowego skanu biurowego. To charakterystyczny ślad zaawansowanych systemów uwierzytelniania dokumentów, które analizują nie tylko treść widoczną gołym okiem, ale także zabezpieczenia możliwe do oceny w określonych zakresach widma.

Obecność obrazów UV i IR sugeruje, że dane mogły pochodzić z wyspecjalizowanych skanerów dokumentów albo z centralnego systemu przechowującego wyniki takich operacji. Dodatkowym elementem wzmacniającym tę hipotezę są znaczniki czasu widoczne w nazwach plików, które miały korelować z rzeczywistymi datami podróży, wynajmu samochodów lub wizyt w punktach wymagających weryfikacji tożsamości.

Z perspektywy architektury bezpieczeństwa można rozważyć kilka prawdopodobnych scenariuszy:

kompromitację centralnego środowiska SaaS obsługującego procesy weryfikacji dokumentów,
nieautoryzowany dostęp do repozytorium plików lub magazynu obiektowego ze skanami,
wyciek poprzez słabo zabezpieczone integracje API,
długotrwały dostęp intruza do zaplecza administracyjnego, logów lub kolejek zadań,
nadużycie uprawnień po stronie partnera, integratora lub dostawcy trzeciego.

Szczególnie alarmujący jest deklarowany przez operatorów charakter ciągłej eksfiltracji. Jeżeli dane były rzeczywiście wyprowadzane przez ponad rok, może to świadczyć o niewystarczającym monitoringu anomalii, słabej segmentacji środowisk lub braku skutecznych mechanizmów wykrywania masowego dostępu do wrażliwych repozytoriów.

Konsekwencje i ryzyko

Skala zagrożenia wykracza daleko poza typowe ryzyko phishingu. Pełne skany praw jazdy i innych dokumentów mogą zostać wykorzystane do otwierania kont, prób wyłudzeń kredytowych, obchodzenia procedur KYC oraz budowy wiarygodnych tożsamości syntetycznych.

Dodatkowym problemem jest obecność zdjęć twarzy oraz obrazów wielowidmowych. Tego typu materiały mogą wspierać bardziej zaawansowane operacje fraudowe, w tym przygotowywanie pakietów służących do omijania automatycznej weryfikacji dokumentów i dopasowywania twarzy do danych tożsamości.

oszustwa tożsamości na dużą skalę,
zakładanie kont usługowych i finansowych na cudze dane,
tworzenie materiałów do obchodzenia systemów weryfikacyjnych,
deanonimizację osób szczególnie narażonych,
dalszą odsprzedaż danych w modelu fraud-as-a-service.

Ryzyko ma także wymiar systemowy. Jeżeli źródłem incydentu był jeden dostawca obsługujący wielu klientów, pojedyncze naruszenie mogło jednocześnie dotknąć liczne branże. To kolejny przykład koncentracji ryzyka w usługach trzecich, które stają się krytycznym elementem nowoczesnego łańcucha dostaw cyberbezpieczeństwa.

Rekomendacje

Organizacje korzystające z platform weryfikacji tożsamości powinny potraktować ten incydent jako sygnał do pilnego przeglądu swoich procesów i polityk retencji danych. Kluczowe działania powinny obejmować zarówno kwestie techniczne, jak i organizacyjne.

przeprowadzenie pełnej inwentaryzacji procesów, w których skanowane są dokumenty tożsamości,
weryfikację, czy dostawca przechowuje pełne obrazy dokumentów i jak długo je retencjonuje,
ograniczenie zakresu gromadzonych danych do niezbędnego minimum,
audyt integracji API, kont serwisowych i uprawnień administracyjnych,
wdrożenie monitoringu anomalii dla repozytoriów obrazów i masowych odczytów danych,
segmentację środowisk oraz szyfrowanie danych w spoczynku i w tranzycie,
egzekwowanie zasad zero trust wobec dostawców i podwykonawców,
przygotowanie procedur reagowania i notyfikacji klientów dla incydentów obejmujących dokumenty tożsamości.

Z perspektywy użytkowników indywidualnych zasadne jest monitorowanie historii kredytowej, rozważenie blokady kredytowej oraz zachowanie ostrożności wobec prób dodatkowego potwierdzania tożsamości. Warto również zwracać uwagę na to, gdzie i w jakim celu dokument jest fizycznie lub elektronicznie skanowany.

Podsumowanie

Sprawa badana przez FBI pokazuje, że systemy weryfikacji tożsamości stały się jednym z najbardziej wrażliwych elementów współczesnej infrastruktury cyfrowej. Wyciek pełnych, wysokiej jakości skanów dokumentów oznacza ryzyko znacznie poważniejsze niż tradycyjne naruszenia obejmujące same dane tekstowe.

Jeżeli potwierdzi się scenariusz długotrwałej eksfiltracji z platformy obsługującej wielu klientów, incydent ten stanie się ważnym ostrzeżeniem dla całego rynku. Dla zespołów bezpieczeństwa wniosek jest jednoznaczny: obrazy dokumentów tożsamości należy traktować jak dane o najwyższej wrażliwości i chronić je na poziomie porównywalnym z danymi finansowymi oraz biometrycznymi.