Media asing melaporkan, mengutip jurnalis keamanan independen Brian Krebs, bahwa sebuah penyedia layanan yang digunakan untuk memverifikasi dokumen identitas yang dikeluarkan pemerintah diduga diserang peretas, dan sejumlah besar gambar SIM dan paspor kemungkinan telah dicuri. Jika benar, ini akan menjadi salah satu kebocoran dokumen identitas terbesar yang diketahui dalam beberapa tahun terakhir.
Situs dark web mengklaim memiliki sejumlah besar dokumen resmi
Laporan menyebutkan bahwa situs pencurian identitas bernama Nexus muncul di dark web minggu ini. Situs tersebut mengklaim dapat mengambil lebih dari 150 juta data SIM dan paspor milik warga Amerika Serikat dan Kanada.
Iklan yang diposting di forum kejahatan siber Rusia menyatakan bahwa data tersebut berasal dari "sebuah perusahaan otentikasi besar" dan menambahkan sekitar 500.000 file setiap hari. Pernyataan ini berarti bahwa penyerang mungkin pernah memiliki akses hampir real-time terhadap sistem perusahaan terkait.
Diduga berasal dari IDScan
Setelah membandingkan sampel bocor dengan Krebs dan peneliti keamanan Zach Edwards, mereka menduga perusahaan Louisiana, IDScan, mungkin menjadi sumber data tersebut. Perusahaan ini menyediakan layanan verifikasi identitas untuk berbagai merek teknologi dan konsumen, memproses permintaan verifikasi dokumen dari puluhan juta pengguna global setiap bulan.
TechCrunch melaporkan bahwa CEO IDScan, Jimmy Roussel, tidak merespons permintaan komentar. Chief Operating Officer perusahaan, Jillain Kossman, mengatakan kepada Krebs bahwa perusahaan sedang menyelidiki insiden ini.
FBI telah terlibat dalam penyelidikan
Laporan tersebut juga menyatakan bahwa kantor luar FBI di New Orleans telah terlibat dalam penyelidikan. FBI tidak merespons permintaan komentar dari TechCrunch. Juru bicara Departemen Pertahanan AS juga belum segera memberikan komentar terkait laporan tersebut.
Peristiwa ini terjadi saat pemerintah di berbagai wilayah sedang mendorong peraturan verifikasi usia yang mengharuskan orang dewasa mengunggah dokumen identitas untuk membuktikan kelayakan mereka mengakses situs atau aplikasi tertentu. Para peneliti keamanan dan aktivis privasi telah lama memperingatkan bahwa penyimpanan terpusat dalam jumlah besar dokumen identitas secara signifikan meningkatkan risiko pencurian. Tak lama setelah laporan ini dirilis, Nexus telah diturunkan, tetapi cakupan sebenarnya dari penyebaran data yang bocor masih belum jelas.