製品 Lemma API証明の発行・検証の基盤Trust402エージェントに任せ、取引するSeal鍵を渡さない、エージェント時代のサインイン
ユースケース 製造・基幹インフラ検査記録アシュアランス金融・FinTech取引先レコード検証自治体・公共証明書レス手続き医療・ヘルスケア有資格者アシュアランス調達・サプライチェーン仕入先資格モニタリングメディア・コンテンツコンテンツ真正性サービス・小売グループ横断アイデンティティAI導入（業種横断）AI実行ガバナンス開発者・エージェント運用エージェント権限統制 ▸ 業界別ソリューション索引を見る
料金
リソース Critical BriefAI×信頼の最前線ブログ考え方と実装の記録ドキュメントAPI と仕様書検証センター検証・発行の実数運営会社FRAME00, Inc.お問い合わせ導入・取材のご相談用語集言葉の定義FAQよくある質問
始める ↗ EN
ホーム / Critical Brief / No. 141
No. 141 Pillar 04 · 規制属性証明

IDScan.net：本人確認のために窓口へ渡した運転免許証のスキャン画像が、1 億 5,300 万件超ダークウェブで売られていた

確認は一度で終わるが、画像は残り続ける

属性証明バイパス KYC / AML 開示データ来歴
事案日
2026-09-01
公開日
2026-09-04
発行
Lemma Critical Team
関連 Pack
Pack B · Regulatory

TL;DR

ダークウェブの新興サービス「Nexus」が、北米の運転免許証 1 億 5,300 万件超を日時付きのスキャン画像ごと検索・購入できる状態にした。Brian Krebs と研究者 Zach Edwards は自分の免許証を見つけ、画像のタイムスタンプが窓口で免許証を手渡した日時と一致することから、身分証確認事業者 IDScan.net を発生源として指し示した。FBI は同日に捜査へ入り、Nexus は報道の数時間後に止まった。効かなかったのは、確認のために一度渡した原本画像が、そのあと誰の手元にどれだけ残るのかを確かめる層である。

何が起きたか

  • Nexus は 2026 年 8 月 31 日、ロシア語のサイバー犯罪フォーラム「Exploit」で広告が出された身分証データの検索サービスである。出品者は「北米 1 億 7,000 万人超の身分証明書のデジタルスキャン」を持つと謳っていた。
  • 掲載件数は運転免許証 1 億 5,300 万件超、ID カード 1,000 万件超、旅行文書・国際 ID 300 万件超、医療カード 57 万 9,000 件超である。Krebs は掲載開始からの 24 時間で運転免許証の件数が 40 万件近く増えたことを確認し、新しく盗まれたデータが継続的に投入されているとみている。
  • 出品者は「1 年以上にわたり新しいデータを継続的に抽出し、非公開データベースへ入れてきた」と主張している。これは売り手側の言い分であり、独立に確認された事実ではない。
  • 1 件の記録には最大 6 枚の画像が含まれる。免許証の表裏を、通常のスキャン・赤外線・紫外線の 3 通りで撮ったもので、ファイル名には日付と時刻が付いている。

発生源の特定は、次の連鎖で成立した。

  1. Krebs が自分の免許証を Nexus 上で検索したところ、自分と母親の記録が見つかった。二人は同じときに Hertz のレンタカー窓口で免許証を手渡していた。
  2. 画像のタイムスタンプは、その手渡しの日時と一致した。
  3. 研究者 Zach Edwards の記録も同様に見つかった。Edwards はラスベガスで車を借りてはいないが、TSA の保安検査場、市内の大麻販売店、宿泊先の Aria で免許証を渡していた。
  4. 共通するのは、赤外線・紫外線を含むスキャンを行う店頭の身分証確認である。IDScan.net は自社の技術が月間 2,100 万件超・世界 2 万か所超で稼働していると公表しており、2022 年 8 月には Planet 13 の大麻販売店との ID 検証契約をプレスリリースで告知していた。
  5. IDScan.net の Jillian Kossman 氏は Krebs に対し「現時点で追加の情報を共有することはできないが、提供された更新は歓迎するもので、当社チームの調査に役立っている」とのみ回答した。
  6. 同社が自社サイトで取引先として挙げていた Caesars Entertainment は、自社は IDScan.net の顧客ではなく、2025 年 2 月以降 VeriScan を使用していないと述べ、掲載そのものを否定した。
  7. FBI ニューオーリンズ支局は 9 月 1 日、IDScan.net をめぐる侵害について正式な捜査を開始したと Krebs に伝えた。

時系列 — 公表と対応

  • 2026-08-31：Nexus がサイバー犯罪フォーラム「Exploit」で広告を出す。情報提供者が Krebs に連絡する。
  • 2026-09-01：Krebs が調査結果を公開。同日、FBI ニューオーリンズ支局が正式な捜査を開始したと同氏に伝える。
  • 2026-09-01：記事公開の数時間後、Nexus のログインページが「このサービスは利用できません」の表示に置き換わり、サイトが停止する。
  • 2026-09-02：TechCrunch が独自取材を加え、記録の中に米国防長官 Pete Hegseth 氏の運転免許証があったと報じる。国防総省は「報道を把握し、評価している」、FBI は「本件を調べている」と回答した。

発生源の特定は、IDScan.net の認めた事実ではなく、Krebs と Edwards による独立検証——自分と家族の免許証記録を実際に見つけ、画像のタイムスタンプを免許証を手渡した日時と突き合わせた——に基づく。件数はいずれも Nexus 側の掲載値であり、実在する記録の数として独立に検証されたものではない。本 Brief 執筆時点（2026-09-04）で、IDScan.net による侵害の確定・影響範囲を示す公式声明は確認できていない。

公表後の対応と業界の動きは次のとおり。

  • FBI がニューオーリンズ支局主導で捜査に着手し、サイバー部門の担当者が Krebs に説明を行った。
  • IDScan.net は「調査中」との回答にとどまり、侵害の有無・範囲についての公表を行っていない。同社が Planet 13 との契約を告知したプレスリリースの URL は、本 Brief 執筆時点で自動取得に応答しない。
  • 取引先として掲載されていた Caesars Entertainment が、自社は顧客ではないと掲載内容そのものを否定した。
  • Nexus は自らサービスを停止したが、すでに抽出されたデータが別の経路で再流通するかどうかは、本 Brief 執筆時点で不明である。

なぜ止まらなかったか

この事案の失敗は、暗号の破れでも、単純な設定ミスでもない。窓口で身分証を一度確認するという行為が、赤外線・紫外線まで含む原本画像を蓄え続ける行為に置き換わっており、その画像がどこにどれだけ残り誰が触れるのかを、渡した本人にも確認を頼んだ店舗にも確かめる手段が無かったことにある。

窓口が必要としているのは「この人物はこの ID の保有者であり、条件を満たしている」という一瞬の判定である。実際に生成され保存されるのは、その判定の根拠になった原本画像そのものである。判定は一度で終わるが、画像は期限を持たない。Krebs と Edwards が過去に自分が行った手渡しを日時付きで見つけられたこと自体が、判定のあとも画像が残り続けていたことの証拠になっている。

検出は効いていた。研究者は自分の免許証を手がかりに発生源を数日で指し示し、FBI は同日に捜査へ入り、Nexus は報道の数時間後に止まった。効かなかったのはその手前——手渡した瞬間から侵害が公になるまでの間、その画像に誰が触れられるのかを、本人にも取引先にも独立に確かめる術が無かったことである。

「Caesars は IDScan.net の顧客ではなく、2025 年 2 月以降 VeriScan を使用していない。にもかかわらず IDScan.net は自社サイトで当社を取引先として掲載している」——Caesars Entertainment。本人確認を担う事業者が公開する取引先一覧でさえ、独立に確かめられないまま古い状態で残っていた。

年齢を証明するために渡した政府 ID が第三者から流出した Brief 052、KYC データを保有する側の内部露出を扱った Brief 077 と Brief 086 は、いずれも同じ失敗の型——確認のために原本を渡す設計——を別の業種で示している。

証明があれば、何が変わるか

本人確認の目的は「この人物がこの条件を満たしている」という判定であって、判定の根拠になった原本画像ではない。事前証明は、この区別を経路に一段挟む。窓口が受け取るものを原本の複製から、確かめられる属性の証明に置き換える。

Lemma がこの落差に対して提示する設計は次の通りである。

  • 属性の証明として発行する：確認のたびに生成するものを原本画像ではなく、「年齢条件を満たす」「この ID は真正である」といった、確認したい属性そのものの証明にする。
  • スコープと有効期限を持たせる：証明が答える範囲と有効な期間を証明自体に束縛し、確認が終わった後まで原本相当の情報が残らないようにする。
  • 受け手の資格も検証対象にする：証明を受け取る側が今も正当な受け手かを検証できるようにし、契約の切れた相手が取引先として扱われ続ける状態を防ぐ。

担わないものも、あわせて書いておく。

  • すでに流出した画像を回収したり、ダークウェブ上のデータを削除したりはしない。
  • 侵害の発生自体を防ぐものではない。検出・通報・法執行の対応は引き続き人と当局の仕事である。
  • 証明が示せるのは、確認の根拠として何が渡されたかまでである。窓口が業務上の判断として原本の提示を求める場面まで無くすものではない。

検出の層と、この層は代替ではなく補完の関係にある。前者は流出が起きた後にその範囲を特定し、後者は確認のたびに原本画像が積み上がらない状態を、次の窓口が開く前に確かめられるようにする。露出しうるものを最小にしておくことは、検出が働くまでの時間を待てるようにすることでもある。

Sources

「AI 時代のサイバー防衛に残された、最後の層」Pillar 04 — 規制属性

件数はいずれも Nexus 側の掲載値であり、独立に検証されたものではありません。発生源としての IDScan.net の特定は Krebs と Edwards による独立検証に基づくもので、同社は本 Brief 執筆時点で侵害の有無・範囲を公表していません。

本資料は公開情報の構造化分析であり、特定組織への監査・診断・推奨ではありません。

この Brief を引用する

Lemma Critical Team. (2026).
"IDScan.net：本人確認のために窓口へ渡した運転免許証のスキャン画像が、1 億 5,300 万件超ダークウェブで売られていた — 確認は一度で終わるが、画像は残り続ける".
Lemma Critical Brief No.141. Lemma / FRAME00, Inc.
https://lemma.frame00.com/ja/critical/briefs/141-idscan-net-drivers-license-dark-web-breach/
関連する BriefRelated
No. 140 AnonyMousKIT：AI 音声エージェントが「Apple サポート」を装い、盗難 iPhone の所有者から解除用パスコードを聞き出していた 属性証明バイパス No. 135 Visa の EMV 非接触カードで、期限切れでも決済が通りうることが示された 属性証明バイパス No. 117 Speechify の音声クローン、同意の確認はチェックボックス1つだった 属性証明バイパス
Lemma

確かめられないものを、
業務に入れない。

Lemma は、データや AI の実行に暗号技術で証明を付け、受け取った側が発行者に問い合わせることなく真正性を確認できるようにします。検出はそのままに、その前段へ一層を足す構成です。

エンタープライズ相談 検証センターを見る