本人確認サービスIDScanがクラウド侵害を確認 — 闇市場に米国・カナダの運転免許証1億5,300万件超、FBIも調査、影響人数は未確定

本人確認サービスを提供するIDScan.netは2026年9月4日、同社クラウド上に保存された顧客情報へ第三者が不正にアクセスし、データをコピーした可能性があるセキュリティインシデントを公表しました。

この発表は、闇市場「Nexus」が米国とカナダの運転免許証を中心とする大規模な本人確認書類データを販売していた問題を受けたものです。

Nexusの運営者は、1億5,300万件を超える運転免許証記録、1,000万件超のIDカード、300万件超の旅行書類・国際身分証、少なくとも57万9,000件の医療カードを保有していると主張していました。

ただし、ここで最も重要なのは「1億5,300万件超」という数字の扱いです。これはIDScanが公表した被害者数ではなく、Nexus側が掲載していた運転免許証レコード数です。

IDScanは2026年9月11日時点で、影響を受けた個人の総数や、Nexusに掲載された1億5,300万件超の記録がすべてIDScanから流出したものかを確定していません。

そのため、「IDScanから1億5,300万人分の運転免許証が流出した」と断定するのは現時点では正確ではありません。本記事では、IDScanが公式に確認した事実と、Nexusや調査報道が示している規模を分けて整理します。

IDScanのセキュリティインシデント概要

IDScanは何を公式に確認したのか

IDScanは9月4日に公開した「Notification of Data Security Incident」で、9月1日ごろに一部データが許可なくアクセスされた可能性を示す情報を受け取ったと説明しています。

同社はその後、システムを保護するための措置を取り、外部の専門家チームを起用してインシデントの性質と範囲を調査しています。

IDScanが現時点で確認しているのは、第三者がIDScan.netクラウドに保存された顧客アカウント内の一部情報へアクセスし、コピーした可能性があることです。

対象データには、氏名、運転免許証番号、その他の政府発行身分証番号などが含まれる可能性があるとしています。

IDScanは影響を受けた可能性がある情報を精査し、対象者を特定したうえで通知すると説明しています。対象となる個人には、無料の信用監視と本人確認保護サービスを提供しています。

同社はまた、連邦法執行機関の調査へ協力していることも明らかにしています。

1億5,300万件超はNexus側が示した数字

今回のニュースで最も大きく報じられている「1億5,300万件超」という数字は、IDScan公式の被害人数ではありません。

独立系セキュリティ記者Brian Krebs氏が9月1日に公開した調査によると、闇市場サービス「Nexus」は、米国とカナダの運転免許証を1億5,300万件超保有していると宣伝していました。

さらにNexusは、1,000万件超のIDカード、300万件超の旅行書類や国際身分証、少なくとも57万9,000件の医療カードも保有していると主張していました。

Krebs氏はNexusを実際に調査し、自身の運転免許証を含む記録を確認しました。また、知人や家族の同意を得て複数の記録を照合し、記録に付与された日時が実際に本人確認書類を提示した時期と一致するケースを確認しています。

TechCrunchも、Nexus上で米国防長官を含む著名人の記録が確認されたことや、Krebs氏とセキュリティ研究者がデータの真正性を確認したことを報じています。

これらの調査から、Nexusに実在する本人確認書類が大量に含まれていたことには強い裏付けがあります。

しかし、Nexusに表示された1億5,300万件が1億5,300万人の異なる個人を意味するとは限りません。同一人物の複数回スキャン、更新前後の免許証、同じ書類の複数画像などが含まれる可能性があります。

また、Nexus側の数字は犯罪者側が提示した集計であり、IDScanやFBIが確定した被害件数ではありません。

なぜIDScanとの関連が疑われたのか

KrebsOnSecurityは、Nexusに掲載された記録の出所を調査する過程でIDScan.netとの関連を特定しました。

特に重要だったのが、運転免許証の画像に付与された日時です。

Krebs氏が確認した複数の人物では、その日時がレンタカー利用や対面での本人確認を行った日と一致していました。

また、一部のレコードには一般的な表面・裏面画像だけではなく、赤外線や紫外線で撮影された本人確認書類の画像も含まれていました。

IDScanは本人確認機器として、赤外線・紫外線による書類解析を行えるスキャナーや本人確認サービスを提供しています。

さらにIDScanは、世界中の多数の施設で本人確認処理を行うプラットフォームを運営しています。KrebsOnSecurityによると、IDScan自身は月間2,100万件超、2万拠点超で本人確認処理を行うと説明していました。

こうした記録の特徴、日時、利用場所、IDScanの顧客関係などを組み合わせ、Krebs氏はIDScanがデータ源である可能性が高いと分析しました。

その後IDScan自身が、同社クラウド上の顧客情報へ第三者がアクセス・コピーした可能性を公式に認めたことで、少なくともIDScan側で実際のデータセキュリティインシデントが発生していたことは確認されました。

FBIも調査

米連邦捜査局(Federal Bureau of Investigation:FBI)も今回の問題を調査しています。

KrebsOnSecurityは9月1日、FBIニューオーリンズ支局がIDScan.netに関連する可能性がある本人確認書類流出について正式な調査を開始したと報じました。

TechCrunchに対してもFBIの広報担当者は、このインシデントを調査していることを認めています。

IDScanも9月4日の公式通知で、連邦法執行機関の調査へ協力していると説明しています。

ただし、FBIは現時点で侵入経路、攻撃者、被害人数、Nexusとの直接的な関係などについて公表していません。

Nexusは報道後に停止

NexusはKrebsOnSecurityの報道後、ダークウェブ上のサービスを停止しました。

Krebs氏によると、サイトのログインページは「This service is no longer available」というメッセージへ置き換えられました。

しかし、サービスが停止したことは流出したデータが削除されたことを意味しません。

すでに第三者へ販売・コピーされたデータが存在する可能性や、別の場所で再公開される可能性は残ります。

そのため、Nexusが現在アクセスできないことを理由に、このインシデントのリスクが解消したと判断することはできません。

「本人確認のために保存した情報」が新たな攻撃価値を持つ

今回のインシデントは、本人確認サービス特有のリスクも示しています。

企業は不正利用防止、年齢確認、レンタカー、施設入場、金融取引などの目的で本人確認書類を取得します。

本人確認書類を読み取ることで、偽造カードや他人名義の利用を防ぐことができます。

しかし、その確認処理で取得した高品質な書類画像を長期間保存すると、本人確認サービス側が非常に価値の高いデータ集約地点になります。

個々の店舗では数百件しか扱わなくても、本人確認基盤を提供する事業者には多数の顧客企業から膨大な身分証データが集約されます。

攻撃者にとっては、1社の本人確認サービスを侵害することで、多数の企業・業種・利用者に関連するデータへアクセスできる可能性があります。

この「本人確認を強化するために集約した情報が、侵害時には大規模ななりすまし材料になり得る」という構造が、今回の事件の重要なポイントです。

IDScanは影響人数をまだ公表していない

IDScanの公式通知には、影響を受けた個人の総数は記載されていません。

同社は現在、影響を受けた可能性がある情報を詳細に確認し、対象となる個人を特定する作業を進めています。

TechCrunchも、IDScanが何人に影響したのかを公表していないと報じています。

したがって現時点では、Nexusの「1億5,300万件超」と、IDScan公式の「影響を受けた人数」を同じ数字として扱うことはできません。

また、IDScanが通常業務で保有していた運転免許証記録数と、今回実際に第三者が取得した件数も同一とは限りません。

最終的な被害規模は、IDScanのフォレンジック調査や法執行機関の調査、個別通知などの追加情報を待つ必要があります。

侵入方法や攻撃者はまだ不明

2026年9月11日時点で、IDScanは第三者がどのような方法でクラウド環境へアクセスしたのかを公表していません。

利用された脆弱性、盗まれた認証情報、クラウド設定ミス、内部アカウントの悪用など、具体的な初期侵入経路は不明です。

Nexus運営者は、1年以上にわたり継続的に新しいデータを取得していたと主張していました。

しかし、この主張についてもIDScanは確認しておらず、第三者が実際にどの期間アクセスできたのかは確定していません。

そのため「IDScanが1年以上侵害され続けていた」と断定するのは現時点では適切ではありません。

時系列で見る今回のインシデント

今回の問題は、闇市場側の公開、調査報道、IDScanの公式確認という順序で明らかになりました。

この時系列から分かるのは、1億5,300万件超という数字がIDScanの最終フォレンジック調査から出たものではなく、先にNexus側で提示された数字だということです。

その後、IDScanは実際の不正アクセスの可能性を認めましたが、Nexusが示した全件数や侵害期間まで認めたわけではありません。

まとめ

IDScan.netは2026年9月4日、同社クラウド上の顧客情報へ第三者が不正にアクセスし、コピーした可能性があるデータセキュリティインシデントを公式に公表しました。

対象情報には氏名、運転免許証番号、その他の政府発行身分証番号などが含まれる可能性があります。IDScanは外部専門家と調査を進め、連邦法執行機関にも協力しています。

一方、闇市場Nexusは米国・カナダの運転免許証記録を1億5,300万件超保有していると主張していました。KrebsOnSecurityは実際の記録を複数確認し、IDScanとの強い関連を示しましたが、この数字はIDScanが確定した被害人数ではありません。

現時点で影響を受けた個人数、侵入方法、攻撃者、侵害期間は確定していません。そのため「1億5,300万人が被害」「1年以上IDScanが侵害されていた」などと断定するのは避ける必要があります。

今回の事件が特に深刻なのは、本人確認のために収集された運転免許証や政府発行身分証の情報が大量に集約されていた点です。こうした情報はパスワードのように容易に変更できず、なりすましや本人確認詐欺のリスクが長期間残る可能性があります。

影響が疑われる利用者はIDScanからの正式な通知を確認し、信用監視、口座や信用情報の確認、フィッシングへの警戒を続ける必要があります。企業側も、本人確認サービスに渡した高感度情報の保存期間や削除方針を改めて確認することが重要です。

参考情報

• IDScan.net:Notification of Data Security Incident
• KrebsOnSecurity:FBI Probes Service Selling 153M+ Drivers Licenses
• TechCrunch:ID verification giant IDScan confirms data breach
• BleepingComputer:IDScan confirms breach tied to 153 million stolen driver’s licenses