ברייאן קרבס, עיתונאי חקירות ותיק בתחום הסייבר, חיפש את רישיון הנהיגה של עצמו באתר חדש שנפתח ברשת האפלה, ומצא אותו. אחר כך חיפש את זה של אמו ומצא גם אותו, עם חותמת זמן שנבדלת משלו בשניות ספורות. השניים מסרו את הרישיונות לפקידה בדלפק של חברת השכרת רכב, באותו רגע, בטיסה משפחתית ביוני 2025.

מה קרה

ב-31 באוגוסט הופיעה בפורום עברייני דובר רוסית בשם Exploit מודעה של מוכר חדש. השירות, שנקרא Nexus, הציע לפי הפרסום סריקות של יותר מ-153 מיליון רישיונות נהיגה מארצות הברית ומקנדה, יותר מעשרה מיליון תעודות זהות, כשלושה מיליון מסמכי נסיעה וכ-579 אלף כרטיסי בריאות. קרבס בדק את המספר בעצמו: חיפוש ריק במערכת החזיר כ-11.5 מיליון עמודי תוצאות, וביממה אחת גדל מספר הרישיונות בכ-400 אלף, כלומר המאגר המשיך להתמלא בזמן אמת.

כל רשומה כללה שישה קבצי תמונה, קדימה ואחורה, בשלוש גרסאות: סריקה רגילה, סריקה באינפרא-אדום וסריקה באולטרה-סגול. Ars Technica מסבירה שדווקא שתי האחרונות הן הבעיה החמורה, כי הן מה שעשוי לאפשר לתעודה מזויפת לעבור את בדיקת ההולוגרמה במכשיר הסריקה.

לשם כל קובץ הוצמדה חותמת תאריך ושעה, וזה מה שאיפשר להתחקות אחורה. קרבס ביקש מיותר מתריסר חברים ובני משפחה רשות לחפש את הרישיונות שלהם. תשעה נמצאו, וכל אחד מהם אישר שנסע בתאריך שבחותמת או בסמוך לו. המכנה המשותף לרובם היה דלפק של חברת השכרת רכב, ובמקרה אחד חנות קנאביס בלאס וגאס.

משם קרבס הגיע ל-idscan.net, חברה מניו אורלינס שמספקת שירותי אימות זהות לעסקים, שלפי אתרה סורקת תעודות באינפרא-אדום ובאולטרה-סגול ומריצה יותר מ-21 מיליון אימותים בחודש ביותר מ-20 אלף נקודות שירות. החברה מסרה שהיא בודקת את העניין ולא הגיבה לגופם של דברים. מפעילי Nexus טוענים מצדם שהמידע מגיע מפריצה פעילה ל"חברת אימות זהות גדולה" ושהם מוציאים ממנה מידע כבר יותר משנה, אבל זאת טענה שלהם, ואף גורם עצמאי לא אישר מאיפה הגיעו הקבצים. מה שכן, ה-FBI פתח חקירה רשמית, ואחרי שהכתבה של קרבס פורסמה האתר של Nexus נעלם והוחלף בשורה "השירות אינו זמין עוד".

למה זה חשוב לכם

במאגר הזה אין ישראלים. המנגנון, לעומת זאת, מוכר לגמרי: אתם מוסרים תעודת זהות או רישיון נהיגה בדלפק של חברת השכרה, בקבלה של מלון, במכון כושר או בעמדת שמירה בבניין משרדים, והעותק נסרק ונשמר במערכת של ספק חיצוני שלא בחרתם בו ושאת שמו אתם לא יודעים. צילום של תעודה מזהה הוא בדיוק מה שהרבה שירותים מקבלים כהוכחת זהות כדי לפתוח חשבון חדש או לשחזר גישה לחשבון קיים.

מה עושים?

לפני שאתם מוסרים תעודה לסריקה, שאלו למה היא נחוצה ומה נשמר ממנה. עסק רשאי לאסוף רק את מה שהוא באמת צריך, ובהרבה מקרים די בהצגת התעודה בלי שנשמר ממנה עותק.

כשאתם כן שולחים עותק, סמנו אותו לפני השליחה. כתבו על גבי הצילום למי הוא נשלח ולאיזו מטרה, באלכסון ועל פני הפרטים עצמם, כך שאי אפשר יהיה לחתוך את הסימון ולהשתמש בעותק במקום אחר.

בדקו מדי כמה חודשים אם נפתחו על שמכם התחייבויות שאתם לא מכירים. אפשר להוציא דוח נתוני אשראי מהמאגר של בנק ישראל ולעבור עליו.

הרישיון עצמו לא נפרץ, והוא עדיין בארנק. מה שנפרץ הוא הזיכרון של מי שסרק אותו.