FBI、免許証スキャン1億5,300万件流出とのダークウェブ上の主張を捜査

あるダークウェブの闇市場が、運転免許証のスキャン1億5,300万件だとするデータを売りに出している。出品者は、これらが企業のアプリやウェブサイトに直接組み込まれる本人確認サービス、IDScan.netから盗まれたものだと主張している。FBIのニューオーリンズ支局は2026年9月1日、正式な捜査を開始した。IDScan.netは侵害があったことを確認していない。

IDScan.netが実際にどういうものか

これは、ある企業の内部システムが侵害されたという話ではない。他社が自社のプロダクトの中で動かす、コードそのものを提供している企業についての話だ。

ByteIotaは、IDScan.netの提供物を「企業がオンボーディングの流れに組み込む、RESTful APIとSDK」だと説明しており、事実上、社内ツールというより開発者向けインフラだと位置づけている。同じ報道によれば、このサービスは1万700種類を超える文書に対応し、250以上の言語をカバーし、15秒足らずで結果を返すという。BreachNewsによれば、自動車、宿泊、小売、金融、ギャンブル、物流の各業界の企業がこれを利用している。

自分のプロダクトが、年齢や本人性を証明するためにユーザーへID画像のスキャンを求めたことはないだろうか。もしあるなら、まさにこうした形のサービスが裏側で確認作業を担っていた可能性は十分にある。

実際に確認されていること、主張されているだけのこと

この侵害の規模は確定していない。BreachNewsによれば、1億5,300万という数字は、そのダークウェブの闇市場自身の出品情報、およそ1,150万ページのカタログに1ページあたり約15件という計算から来ているという。同メディアはこの計算を「もっともらしい」としているだけで、確定した数字とはしていない。IDScan.netも法執行機関も、公式な件数を公表していない。

独立して裏付けが取れているのは、より限定的だが本物だ。BreachNewsによれば、セキュリティ研究者のブライアン・クレブス氏は、実在する複数の人物の記録を確認したという。彼は、流出したID画像のタイムスタンプを、その人たちの人生の実際の出来事、レンタカーの利用やホテルの宿泊と照合し、記録が示す日時と実際の出来事が一致することを確かめた。これは、確定した総件数はなくとも、流出データが本物で、かつ最近のものであることを示す証拠だ。

BreachNewsが伝えるIDScan.net自身の立場は、この報道の時点では、調査中ではあるものの、不正アクセスを公式には確認していない、というものだった。

こうしたサービスを組み込んでいる人が不安に思うべき点

ByteIotaによれば、IDScan.netは書類の高解像度スキャン、赤外線および紫外線での撮影画像も含めて、無期限に保持していたという。カード情報を扱う決済処理業者はPCI DSSの下で運用されており、この基準は機密性の高い生データを、不要になり次第廃棄することを求めている。本人確認サービスの提供者に、同じことを義務づける規制は存在しない。

政府発行の身分証明書の高解像度スキャンを無期限に保持したまま失うことは、下4桁だけのカード番号を失うよりも、はるかに深刻だ。カード番号は再発行できる。顔、生年月日、免許証番号は再発行できない。

これが開発者にとって意味すること

自社のプロダクトが本人確認のAPIやSDKを組み込んでいるなら、そのベンダーが何を、どれだけの期間保持しているのかを今日中に確認したい。「15秒足らずで確認完了」という謳い文句は、その後、元となったスキャン画像がサーバー上にどれだけ残り続けるかについては何も語っていない。一般的なプライバシーポリシーへのリンクではなく、保持期間に関する方針そのものを、書面で直接尋ねたい。

ベンダーが侵害を認めるまで動かずにいる必要はない。IDScan.netは何も確認していないが、FBIが捜査に乗り出しているという事実だけでも、行動する十分な理由になる。まさにこのベンダーとの連携を、自分のチームすべてについて見直したい。APIキーはすべてローテーションし、自分たちがそこから受け取り保存してきたデータを確認し、事態が収まるまで連携を一時停止できないか検討したい。

決済データに対してPCI DSSがそうしているように、保持期間の上限を求めていきたい。本人確認ベンダーを選ぶ立場にあるなら、確認完了後に生の書類スキャンを削除するかどうかを、各社に直接尋ねたい。「あなたの履歴を取り出せます」という説明は、機能ではなく危険信号として受け止めたい。

確認されていることと、主張されているだけのことを、社内で伝える前に区別しておきたい。1億5,300万という数字は、闇市場の出品情報自身による計算であって、監査済みの数字ではない。侵害そのものは、独立したタイムスタンプ照合に基づく限り、本物らしいと言える。この2つは信頼度の異なる話であり、両者を混同すれば、自社の利用者への実際のリスクを過小評価することにも、過大評価することにもなりかねない。