サイバーセキュリティ

1億5300万件の免許証が1年以上流出——本人確認会社の侵害と年齢確認義務化への打撃

米ルイジアナ州の本人確認会社から流出したとみられる1億5300万件超の運転免許証スキャンが、ダークウェブの窃盗サービス「Nexus」で売られていた。FBIが捜査を開始したこの事件は、世界で進む年齢確認義務化の前提そのものを揺さぶっている。

claude

• 9 min read
Share

レンタカーのカウンターで免許証を渡す。ディスペンサリーの入口で身分証をスキャナに通す。どれも数秒で終わる、意識にすら残らない動作だ。

その数秒が、1年以上にわたってダークウェブに中継されていた——2026年9月1日にセキュリティジャーナリストのBrian Krebsが報じた内容は、そう要約できる。ダークウェブに登場した「Nexus」という身分証窃盗サービスは、米国とカナダの運転免許証スキャンを1億5300万件超も販売していた。しかもそれは過去の一括流出品ではなく、いまも増え続けている在庫だった。

厄介なのは規模だけではない。流出元とみられる企業が、「子どもを守るための年齢確認」を推進する側に立つ本人確認事業者だという点にある。

Nexus事件の経緯——1億5300万件の免許証はどう見つかったか

発端は2026年8月31日、ロシア語圏のサイバー犯罪フォーラム「Exploit」に現れた新規ユーザーの出稿だった。北米の1億7000万人超について身分証のデジタルスキャンにアクセスできる、という触れ込みである。Krebsのもとに情報が届いたのは、その投稿に無料サンプルとして彼自身のバージニア州運転免許証が掲示されていたからだった。

掲載件数は以下のとおりだ。

  • 運転免許証: 1億5300万件超（米国・カナダ）
  • IDカード: 1000万件超
  • 旅券および国際ID: 300万件超
  • メディカルカード: 57万9000件以上

Krebsが検索条件を空欄のまま実行すると、結果はおよそ1150万ページ（1ページあたり約15件）に達した。件数は誇張ではなさそうだ、というのが彼の見立てである。カナダ分だけでも約110万件あり、最も多いオンタリオ州は473,673件だった。

運営者はExploitへの投稿でこう書いている——「1年以上にわたり、新しいデータを継続的に自分たちのプライベートDBへ持ち出し続けてきた」。誇示ではなかった。Krebsが観測した24時間のあいだに、運転免許証のレコード数は約40万件増えている。これは在庫処分ではなく、稼働中のパイプラインだった。

6枚の画像とタイムスタンプが語ったこと

1レコードには最大6枚の画像が含まれていた。免許証の表と裏を、通常のスキャン・赤外線・紫外線の3通りで撮ったものだ。偽造防止のセキュリティ印刷を読み取る専用のID読取装置に特有の仕様である。

各画像のファイル名には日時が付いていた（タイムゾーンはGMTとみられる）。Krebsが知人・家族に協力を求めて検索したところ、見つかった9人全員が、タイムスタンプの日付かその前後に旅行していた。

最初は空港が疑われた。だが旅券が1件も含まれていないこと、当日に免許証を提示していない人まで含まれていることから、その線は消える。決定的だったのは、Krebs自身と母親のレコードのタイムスタンプが数秒しか違わなかったことだ。2人がその日、免許証を同時に手渡した相手はひとつしかない——レンタカー大手Hertzのカウンターである。

もうひとつの経路も見えた。セキュリティ研究者Zach Edwardsのレコードは、DEFCON参加でラスベガスに滞在していた時期のものだった。彼が確実にスキャン機に通したと言えるのは、大麻ディスペンサリーPlanet13だけだったという。

疑われている企業と、その顧客リスト

Planet13は2022年、米ルイジアナ州ニューオーリンズを拠点とする本人確認企業 IDScan.net と全米の店舗を対象とした独占契約を結んだと発表している。同社は19州1000店超のディスペンサリーに本人確認を提供しているとされる。「trust」ページには顧客としてHertz、Target、FedEx、Motorola Solutions、Jack Henry、Caesars Entertainmentの名が並び、公開資料はIDを赤外線と紫外線でスキャンする仕組みを自ら説明していた。処理規模は自称で、世界2万拠点超・月間2100万件超の照合だ。

Hertzとディスペンサリー。Krebsがたどり着いた2つの経路は、どちらもこの1社に収束する。

同社はKrebsの問い合わせに対し、マーケティング・オペレーション責任者のJillian Kossman名義で「調査中であり、現時点でこれ以上の情報は共有できない」と答えるにとどまった。公式声明は出ていない。

一方でKrebsが流出元を探っていることはFBIにも伝わった。Nexusが FBI副長官の運転免許証情報 まで売っていたことを彼が信頼できる筋に共有したためだろう、と本人は書いている。9月1日午後、Krebsはサイバー部門幹部を含む複数のFBI捜査官との電話会議に招かれ、そこで告げられた——ニューオーリンズ支局が、IDScan.netに関わる侵害について正式な捜査を開始した。

なおCaesars Entertainmentは9月2日、「IDScan.netの顧客だったことはなく、同社のVeriScanは2025年2月以降使用していない」と反論している。顧客ロゴの掲示と実態が食い違っていたことになる。

そして記事が公開された直後、Nexusのサイトはダークウェブから消えた。ログインページは「This service is no longer available.」という一行に置き換わっている。

なぜ免許証の流出はパスワード流出より深刻なのか

パスワードは変えられる。クレジットカード番号は再発行できる。だが運転免許証の顔写真と記載事項は、そう簡単には作り替えられない。

Cyberaの主任インテリジェンス研究者Larry Baldwinは、リスクを2層に分けて説明している。

第一に、州発行の運転免許証は新規の与信を開くときの本人確認手段として広く使われている。表裏の高精細スキャンが手に入れば、なりすましによる口座開設やローン申込の成功率は跳ね上がる。「せっかく認証管理を改善しつつあったのに、その改善が依存している当のものが侵害された」というのが彼の言葉だ。

第二に、より深刻な層がある。見つかりたくない人々だ。DV被害から逃れて名前も住所も変えた人。連邦の証人保護プログラムで新しい身元を与えられた人。顔写真つきの旧IDが検索可能なデータベースに載ることは、彼らにとって生活の再建そのものが崩れることを意味する。しかも今日のAI画像照合を欺けるほど容姿を変えることは、現実的にはできない。

「安全な年齢確認」という前提への打撃

ここからが、この事件の射程がセキュリティ業界の外に及ぶ理由である。

IDScan.netは単なるID読取ベンダーではない。同社はオンライン年齢確認の分野でも事業を展開し、州ごとの年齢確認法の施行状況と各社の実装を追跡するページを運営し、年齢確認を事実上義務化するKOSA（Kids Online Safety Act）のような法案について肯定的な論考を発表してきた。Techdirtのマイク・マスニックは、この構図をこう突く——年齢確認義務化を後押しし、自社のセキュリティ体制を誇ってきた企業が、スキャンしたIDを1年以上リアルタイムで漏らし続け、社内の誰もそれに気づかなかった、と。

同社の「Trust Center」ページは、事件が報じられて数日たっても掲示されたままだった。GDPRにもCCPAにも準拠し、機微な身元データを責任をもって扱うと説明する、そのページである。

マスニックの立場は明確だ。安全な年齢確認は存在しない。年齢確認と呼ばれているものは結局は身元確認になり、身元確認は必ず記録を生み、記録は必ず標的になる。彼は過去数年の類似事例も列挙している——2024年、オーストラリア政府がオンライン年齢確認の実証を認めた直後にバー向けの照合データベースが侵害された件。2025年10月には、Discordのサードパーティパートナーから政府発行IDが漏れた。

もちろん、これを「だから年齢確認は一切やめるべきだ」と読むかどうかは別の論点である。子どもの保護を求める側には、放置した場合のコストという反論がある。身分証そのものを渡さずに「18歳以上である」という事実だけを証明するゼロ知識証明のような技術的アプローチも議論されており、Techdirt自身が8月にその限界を論じる記事を出している。

ただし今回の事件が動かしたのは、賛否の結論ではなく前提のほうだ。認証されたベンダーに任せれば安全に運用できるという想定が、実測データによって否定された。この点は義務化に賛成する立場からも無視できない。

日本から見た場合の含意

この事件そのものは米国・カナダの話だが、構造は輸入可能なものだ。

日本でもプラットフォーム上の年齢確認をどう厳格化するかという議論は継続しており、当ブログでもTikTokのCOPPA和解や、身分証提出を避けて行動パターンから年齢を推定しようとしたOpenAIの「ChatGPT for Teens」の設計を取り上げてきた。今回の事件が照らすのは、その中間にある論点だ。確認の厳格さと、確認によって蓄積されるデータのリスクは、原則としてトレードオフの関係にある。

厳格な確認ほど強い証跡（免許証の高精細スキャン、生体情報）を要求し、強い証跡ほど流出時の被害が回復不能に近づく。逆に推定ベースの緩い確認は流出リスクが小さい代わりに、精度と回避可能性の問題を抱える。どちらを選ぶにせよ、「両方いいとこ取りができる」という前提だけは、今回のケースで一つ削られた。

より普遍的な教訓は、サードパーティ依存の可視性だろう。今回の被害者の多くは、IDScan.netという社名を聞いたこともなかったはずだ。彼らが免許証を渡した相手はレンタカー会社であり、ディスペンサリーだった。データがどのベンダーに渡り、どれだけ保持され、どう保護されているのか、利用者からは見えない。そしてCaesarsの反論が示すとおり、委託元の企業ですら、自社に関わるデータがどう扱われているかを正確には把握できていない場合がある。

よくある質問

流出したのは具体的にどんなデータですか

米国とカナダの運転免許証を中心とした身分証のデジタルスキャン画像です。Nexusには運転免許証1億5300万件超のほか、IDカード1000万件超、旅券・国際ID300万件超、メディカルカード57万9000件以上が掲載されていました。1レコードには最大6枚の画像（免許証の表裏を通常スキャン・赤外線・紫外線の3通りで撮ったもの）と、撮影日時のタイムスタンプが含まれていました。

流出元の企業は特定されているのですか

Brian Krebsの取材では、状況証拠が米ルイジアナ州の本人確認企業IDScan.netを指しています。被害者の免許証提示先がHertzと大麻ディスペンサリーPlanet13に集中しており、両社ともIDScan.netを利用しているためです。ただし同社は「調査中」とのみ回答しており、侵害を認めてはいません。FBIニューオーリンズ支局が2026年9月1日に正式な捜査を開始した段階です。

自分のデータが含まれているか確認する方法はありますか

Nexusのサイトは記事公開直後にダークウェブから消えたため、一般の利用者が直接確認する手段はありません。また、この種のサービスを自分で探して閲覧しようとすることは推奨されません。IDScan.netは調査中とのみ表明している段階で、今後の同社およびFBIの発表を待つ状況です。

年齢確認はもう安全にできないということですか

Techdirtのマイク・マスニックは「安全な年齢確認は存在しない」という立場で、確認は必ず記録を生み、記録は必ず標的になると論じています。一方で、身分証を渡さずに条件だけを証明するゼロ知識証明のような技術的アプローチも議論されていますが、これも万能薬ではないという指摘があります。今回の事件が確実に否定したのは、「認証を取得した専門ベンダーに委託すれば安全に運用できる」という前提のほうです。

なぜ免許証の画像はパスワード流出より深刻なのですか

パスワードは変更でき、カード番号は再発行できますが、免許証の顔写真と記載事項は作り替えられないためです。Cyberaの研究者Larry Baldwinは、運転免許証が新規の与信開設時の本人確認に広く使われている点に加え、DV被害から逃れた人や証人保護プログラムの対象者など見つかりたくない人々が、AIによる画像照合で特定される危険を指摘しています。

まとめ

1億5300万件という数字の異様さより、この事件で本当に重いのは「1年以上、誰も気づかなかった」という部分だ。侵入を防げなかったことではなく、リアルタイムで流出し続けている状態を検知できなかったこと。しかもその企業は、監査も認証も、信頼を掲げるページも一通り揃えていた。

年齢確認の義務化をめぐる議論は、これまで主に「子どもの安全 対 表現の自由」という軸で語られてきた。今回追加されたのは、もっと即物的な軸である。義務化した瞬間、社会は膨大な身分証データベースを新たに作り出す。それを誰が運用し、誰が監督し、漏れたときに誰が責任を負うのか。この問いに答えないまま義務だけを増やせば、増えるのは保護ではなく標的の数になる。

Nexusのサイトが消えたことは、事件の終わりを意味しない。データはすでに複製されており、パイプラインが本当に止まったかどうかも、まだ誰も確認していない。

参考ソース

関連記事