Sporet efter 153 millioner stjålne kørekort gik gennem en cannabisbutik i Las Vegas

For at komme ind i verdens største cannabisbutik skal man gennem en rød telefonboks. Bag den ligger Planet 13 på et par tusinde kvadratmeter i Las Vegas, og inden for døren står 16 skranker, hvor personalet fører gæsternes kørekort gennem en scanner. Det er ganske almindelig alderskontrol, den slags enhver butik med bevilling skal lave.

Den scanner er nu det bedste spor i en sag om 153 millioner stjålne kørekort.

Sagen er gravet frem af den amerikanske it-sikkerhedsjournalist Brian Krebs, som i går beskrev den på sit site KrebsOnSecurity. En ny tjeneste på det russiske kriminelle forum Exploit sælger scanninger af identitetsdokumenter på over 170 millioner mennesker i USA og Canada. Sælgerne opgør selv lageret til mere end 153 millioner kørekort, ti millioner ID-kort, tre millioner rejsedokumenter og et halvt hundrede tusind sundhedskort. På et enkelt døgn voksede beholdningen med knap 400.000 kørekort. »Vi har løbende trukket nye data ud til vores private database i over et år,« skriver de i deres annonce, oversat fra engelsk.

Krebs opdagede sagen, fordi sælgeren brugte hans eget kørekort som gratis vareprøve.

Det er her, historien holder op med at ligne et almindeligt datalæk. Hver post i tjenesten rummer seks billedfiler af det samme kort: for- og bagside i almindeligt lys, i infrarødt og i ultraviolet, og hver fil bærer dato og klokkeslæt i sit navn. Krebs bad et dusin venner og familiemedlemmer om lov til at søge efter dem. Ni af dem lå der, og alle ni kunne bekræfte, at de havde rejst netop de dage.

Han troede først, det handlede om lufthavne. Den teori faldt, da det viste sig, at der ikke var et eneste pas i datasættet. I stedet gik ét navn igen blandt de ramte: biludlejeren Hertz. Krebs' eget kort og hans mors er tidsstemplet få sekunder fra hinanden, fordi de to rakte deres kørekort over den samme skranke på samme tid.

Sikkerhedsforskeren Zach Edwards havde ikke lejet bil. Han fandt sit kort med et tidsstempel fra en tur til hackerkonferencen DEFCON i Las Vegas, og han havde afleveret legitimation tre steder den dag: i lufthavnens sikkerhedskontrol, på hotellet Aria og i cannabisbutikken Planet 13. Kun ét af de tre steder blev kortet ført gennem en maskine.

Maskinen kommer fra idscan.net, et firma i New Orleans. Det leverer ID-kontrol til mere end tusind cannabisudsalg i 19 stater, og kundelisten rummer også Hertz, Target, FedEx, Motorola Solutions og kasinokoncernen Caesars. Firmaet oplyser selv, at det håndterer over 21 millioner verifikationer om måneden på mere end 20.000 lokationer, og at dets scannere læser kortene med både infrarødt og ultraviolet lys. Det er præcis de billeder, der ligger til salg.

FBI's kontor i New Orleans åbnede i går en officiel efterforskning af et muligt sikkerhedsbrud hos firmaet. Idscan.net oplyser til Krebs, at det undersøger sagen, men er ikke kommet med nogen udtalelse.

Vi har læst den pressemeddelelse, idscan.net selv sendte ud i 2022, da aftalen med Planet 13 blev indgået. Den handler kun delvis om alderskontrol. Firmaet fremhæver, at butikkens 16 scannestationer er koblet til én central database, at softwaren skiller kortets felter ad, og at det, med firmaets egne ord, »gør det muligt for Planet 13 gnidningsfrit at høste navne og demografiske og geografiske oplysninger om sine gæster.« Direktør Denis Petrov siger i samme meddelelse: »Ud over compliance forbedrer vores løsninger gæsteoplevelsen og leverer data, der er utrolig værdifulde for marketing og drift.« Begge citater er oversat fra engelsk.

Ordet, firmaet valgte, var altså høste. Fire år senere er det nogle andre, der høster.

Prisen betales af folk, der ikke har haft noget valg. Et kørekort er i USA det dokument, man beviser sin identitet med, når man optager kredit, og sikkerhedsforskeren Larry Baldwin fra firmaet Cybera peger på, at lækket rammer hårdest hos dem, der ikke ønsker at kunne findes. Voldsudsatte, der er flyttet. Folk i vidnebeskyttelse, som har fået nyt navn og ny historie, men det samme ansigt. Billedgenkendelse klarer resten. Blandt de kort, der kan købes, er i øvrigt forsvarsminister Pete Hegseths og FBI's assisterende direktørs.

Edwards, der fandt sit eget kort efter en tur i en cannabisbutik, ser en større sammenhæng. »Den her sag burde styrke dem, der kæmper imod online ID- ordninger, hvor utallige udbydere kræver kørekort for at give adgang til deres tjenester, med beskyttelse af børn som påskud,« siger han til KrebsOnSecurity, oversat fra engelsk. »De systemer lægger følsomme data ud hos flere og flere tredjepartsleverandører, og vi har ikke på nogen måde tilsyn nok til at sikre, at det er forsvarligt.«

Hver gang en ny regel kræver, at nogen viser legitimation, får en leverandør et billede af den. Ingen af de 153 millioner mennesker har mødt det firma, der nu efterforskes.