Kimlik doğrulama alanında uzmanlaşan IDScan şirketine, hizmetinin saldırıya uğradığı ve 153 milyondan fazla sürücü belgesi verisinin karanlık ağ üzerinden satışa sunulduğu iddiasının ardından birçok dava açıldı. Mevcut bilgiler, ABD Federal Soruşturma Bürosunun olayla ilgili soruşturma başlattığını gösterirken şirket henüz konuya ilişkin resmi bir açıklama yapmadı.
İddiaya göre ne sızdırıldı?
«Nexus» adlı bir karanlık ağ suç hizmeti, 1 Eylül 2026'da 153 milyondan fazla ABD ve Kanada sürücü belgesinin kopyasına sahip olduğunu veya bunlara erişim sunduğunu duyurdu. Buna ek olarak 10 milyon kimlik kartı, 3 milyon seyahat belgesi ve 579 bin sağlık kartı da listelendi.
Brian Krebs, kendi kayıtlarını ve kontrollerin yapılmasına izin veren kişilerin kayıtlarını arayarak veri tabanındaki örneklerin doğrulanabildiğini aktardı. Yaptığı takibe göre veriler, devlet tarafından verilen kimlik belgelerini taramak, doğrulamak ve bunlardan veri çıkarmak için cihaz ve yazılım sağlayan IDScan şirketine kadar uzanıyordu.
IDScan sistemleri ABD'de araç kiralama, perakende, silah mağazaları, finans kuruluşları, kenevir dispanserleri ve konaklama sektörlerinde faaliyet gösteren kuruluşlar tarafından kullanılıyor. Bu da potansiyel olarak etkilenen kişilerin şirketin doğrudan müşterileri değil, sistemlerini kullanan şirketlerde belgeleri taranan kişiler olabileceği anlamına geliyor.
Resmî soruşturma ve Louisiana'daki davalar
Federal Soruşturma Bürosu, New Orleans ofisi aracılığıyla olayı incelediğini doğruladı; ancak soruşturma devam ettiği için ek ayrıntı vermeyi reddetti. Reuters da kaynak metne göre soruşturmanın başladığını bağımsız olarak doğruladı.
Davalar, IDScan'in merkezinin bulunduğu Louisiana eyaletinde açıldı. Davalarda şirket, aralarında küresel araç kiralama şirketi Hertz'in de bulunduğu müşterilerinden aldığı bilgileri korumamakla suçlanıyor. Markovits, Stock & DeMarco ve Hall Attorneys hukuk büroları, toplu dava açılması ihtimaline ilişkin soruşturmalar başlattı. Markovits, Stock & DeMarco, IDScan'in bazı ticari müşterilerini yaklaşık 1 Eylül'de bilgilendirmeye başladığını belirtti.
Uygulamada ne değişiyor?
Nexus hizmetinin kapatılması verilerin ortadan kalktığı anlamına gelmiyor; metne göre suçlular veri tabanına hâlâ sahip. Veri tabanının iddia edilen büyüklüğünün doğru olduğu kanıtlanırsa risk, yalnızca kimlik belgesi numaralarının açığa çıkmasıyla sınırlı kalmayıp belgelerin kopyalarının kimlik hırsızlığı girişimlerinde veya diğer kuruluşlardaki doğrulama işlemlerini aşmak için kullanılmasına kadar uzanıyor. Ancak kaynak, şu ana kadar etkilenen kişilerin sayısını kanıtlamıyor ve IDScan sistemlerinin kendisinin saldırıya uğrayıp uğramadığını belirlemiyor.
Metne göre ABD Savunma Bakanı Pete Hegseth'e ve Federal Soruşturma Bürosunda bir yardımcı direktöre ait olduğu ileri sürülen veriler hizmette yer aldı; ancak bu bilgileri doğrulamak mümkün olmadı. Ayrıca ek davalar veya toplu davalar açılabilir ve bunlar daha sonra çok bölgeli davalarda birleştirilebilir. Düzenleyici kurumlar ve eyalet başsavcıları ayrı soruşturmalar başlatabilir; ancak bu, şu anda kesinleşmiş bir işlem değil, yalnızca bir olasılık olarak kalıyor.
IDScan iddialara ilişkin bir açıklama yayımlamadı ve BleepingComputer'ın yorum taleplerine yanıt vermedi. Bu nedenle olay, metnin 4 Eylül 2026'daki güncelleme tarihi itibarıyla kesin olarak kanıtlanmış bir saldırı değil, soruşturma altındaki iddia edilen bir sızıntı niteliğini koruyor.