米の運転免許証「1億5,300万件超」がダークウェブで販売か　FBIが調査、本人確認事業者IDScan.netとの関連を研究者が指摘

米国とカナダの運転免許証スキャン画像などを大量に販売するダークウェブのサイト「Nexus」が確認され、米連邦捜査局（FBI）が調査に乗り出しています。

発端は、セキュリティジャーナリストBrian Krebs氏が2026年9月1日に公開した調査です。Krebs氏によると、Nexusは米国・カナダの運転免許証を「1億5,300万件超」、その他の身分証明書1,000万件超、渡航・国際身分証明書300万件超、医療関連カード57万9,000件以上保有していると主張していました。

Krebs氏は単に犯行声明を紹介しただけではなく、自身や協力者の運転免許証画像を実際にNexus内で確認し、画像に付与されたタイムスタンプとレンタカー利用などの実際の行動履歴を照合しました。その結果、米ルイジアナ州に拠点を置く本人確認サービス事業者「IDScan.net」との関連を強く示す証拠があると報告しています。

ただし、9月5日時点でIDScan.netは「1億5,300万人の情報が漏えいした」と公式に確定していません。1億5,300万という数字はNexus側の主張する「レコード数」であり、重複スキャンや同一人物の複数画像が含まれる可能性があります。

FBIはロイターなどに対し、本件を調査していることを認めています。一方、侵入経路、実際の侵害元、対象人数、情報流出期間などは確定していません。

今回の事案で特に重要なのは、漏えいした可能性があるデータが単なる氏名・住所・免許証番号ではなく、本人確認に使われる運転免許証そのものの高精細なスキャン画像を含む点です。

日本でも、本人確認書類が実際に漏えいした事案に加え、ハッカーフォーラム上で日本の運転免許証データ2万件超を販売するとする投稿が確認されています。

本人確認書類の画像は、パスワードのように簡単に変更できません。eKYCや口座開設、ローン申請、契約手続きなどで再利用される可能性があるため、企業側では「本人確認書類を収集すること」そのものを高リスクなデータ処理として扱う必要があります。

運転免許証大量流出疑惑のサマリー

• 【確認済み】Brian Krebs氏は2026年9月1日、闇サイト「Nexus」に大量の運転免許証画像が掲載されていると報告しました。
• 【攻撃者の主張】Nexusは米国・カナダの運転免許証1億5,300万件超を保有すると主張しています。
• 【確認済み】Krebs氏は自身の運転免許証画像がNexus上に存在することを確認しています。
• 【確認済み】協力者9人についても、免許証画像と実際の利用時刻・行動履歴との一致を確認したとしています。
• 【確認済み】一部レコードには運転免許証の表裏に加え、赤外線・紫外線画像が含まれていました。
• 【確認済み】IDScan.netの公式技術資料では、同社の認証SDKが白色光、赤外線、紫外線の各画像を取り扱う仕様を公開しています。
• 【研究者の分析】Krebs氏は、今回のデータがIDScan.netと関連している可能性が高いとしています。
• 【未確認】IDScan.netは9月5日時点で、侵害の事実や1億5,300万件という規模を公式確定していません。
• 【未確認】「1億5,300万件」はユニークな被害者数とは限りません。
• 【確認済み】FBIは本件について調査していると報じられています。
• 【未確認】侵入経路、攻撃者、侵害開始時期は公式には確定していません。
• 【確認済み】NexusはKrebs氏の報道後にアクセスできなくなりました。
• 【重要】闇サイトが消えたことと、流出データが削除されたことは同義ではありません。
• 【日本の事例】セキュリティ対策Labは2026年4月、日本の運転免許証データ2万件超を保有するとする販売投稿と、実際の免許証サンプル画像を確認しています。流出元は未特定です。

項目	内容
公表・報道日	2026年9月1日以降
調査起点	KrebsOnSecurity
闇サービス名	Nexus
運転免許証件数	1億5,300万件超とNexusが主張
その他ID	1,000万件超と主張
渡航・国際ID	300万件超と主張
医療関連カード	57万9,000件以上と主張
実データ確認	Krebs氏が自身・協力者の免許証を確認
データ形式	表裏画像、赤外線・紫外線画像を含む例あり
関連事業者	IDScan.netとの関連をKrebs氏が指摘
IDScan.netの公式確定	未確認
FBI	調査中
攻撃者	未特定
侵入経路	未確認
日本の類似事例	日本の運転免許証2万件超を販売するとする地下市場の投稿、WelcomeHR等

Nexusは「1億5,300万件超」の運転免許証を販売

KrebsOnSecurityによると、Nexusは2026年8月31日、ロシア語圏のサイバー犯罪フォーラム「Exploit」で宣伝されました。

Nexus運営者は、

• 運転免許証1億5,300万件超
• その他の身分証明書1,000万件超
• 渡航文書・国際身分証明書300万件超
• 医療関連カード57万9,000件以上

を保有していると主張しました。

Krebs氏が検索パラメータを空欄にして検索したところ、約1,150万ページ、1ページあたり約15件の結果が表示され、単純計算では1億7,000万件規模に相当する結果が返ったとしています。

ただし、これをそのまま「1億5,300万人が被害」と表現することはできません。

画像：FBI Probes Service Selling 153M+ Drivers Licenses

個人情報盗難サービスで入手可能な記録には、米国国防長官ピート・ヘグセス氏の運転免許証が含まれている。ヘグセス氏は、運転免許証が販売されている複数の米国政府高官のうちの1人でです。

自身の運転免許証が闇サイトに掲載

Krebs氏は、Nexusの販売ページに自身のバージニア州運転免許証がサンプルとして掲載されていたことで事案を把握しました。

調査のため、家族や知人など十数人から同意を得て検索したところ、9人の免許証画像がNexus内で確認されたとしています。

さらに、各画像にはタイムスタンプが付与されており、レンタカー利用履歴などと照合すると、本人が実際に運転免許証を提示した日時と一致するケースが確認されました。

このため、単に公的データベースから免許証番号を集めたものではなく、店舗や本人確認現場で実際にスキャンされた画像が流出している可能性があります。

表裏だけでなく赤外線・紫外線画像も

今回の事案で大きな問題となるのが、データの「質」です。

Krebs氏の免許証レコードには、

• 通常光で撮影した表面
• 通常光で撮影した裏面
• 赤外線画像
• 紫外線画像

など、合計6枚の画像が含まれていました。

赤外線・紫外線画像は、運転免許証や公的IDの真贋判定で使用されるセキュリティ要素を確認するために利用されます。

IDScan.netの公式Authentication SDKドキュメントでも、同社の認証システムが、

• front white light image
• back white light image
• front infrared image
• back infrared image
• front ultraviolet image
• back ultraviolet image

を入力として使用すると説明しています。

Krebs氏がNexus上で確認したデータ構成と、IDScan.netが公式に説明する認証処理には共通点があります。

ただし、これだけでIDScan.netからの流出を確定することはできません。

IDScan.netとの関連をKrebs氏が指摘

IDScan.netは、企業向けに本人確認、年齢確認、運転免許証・パスポートの読み取り、訪問者管理、eKYCなどのサービスを提供しています。

同社の公式サイトでは、銀行、フィンテック、物流、カジノ、ホテル、レンタカー、販売業など幅広い業種向けにID認証技術を提供していることが確認できます。

また、IDScan.netの2026年3月7日付プライバシーポリシーでは、顧客企業の代理で処理する「Client data」に、

• 政府発行IDデータ
• 生体情報
• 位置情報
• 連絡先
• 取引情報

などが含まれる場合があると説明しています。

一方、同社は顧客企業の代理でデータを処理する「processor」であり、個々の利用者がIDScan.netの名前を認識しないまま、店舗やサービスを通じて本人確認データが処理されるケースがあります。

この構造は、今回の事案が事実であれば、単一企業の情報漏えいではなく、多数の企業から集約された本人確認データが一カ所で影響を受ける「本人確認サプライチェーン」の問題になり得ます。

IDScan.netは侵害規模を公式確定していない

9月5日時点で、IDScan.netの公式サイトには今回のNexus事案についての一般向け確報は確認できませんでした。

同社が、

• 実際に侵害されたのか
• どのシステムが侵害されたのか
• どの顧客が影響したのか
• 何人が対象なのか
• いつから侵害されていたのか

は公表されていません。

そのため、「IDScan.netから1億5,300万人分が漏えいした」と断定するのは適切ではありません。

現段階では、

「Nexusが1億5,300万件超を主張し、Krebs氏がIDScan.netとの関連を示す証拠を確認した」

という表現に留める必要があります。

FBIも調査を開始

Krebs氏は、FBIニューオーリンズ支局が今回の免許証画像の出所について正式な調査を開始したと報告しています。

ロイターもFBIから「本件を調査している」との確認を得ています。

ただし、FBIは捜査中を理由に、侵害元や攻撃者、規模について詳細を明らかにしていません。

したがって、FBIによる調査開始は確認されているものの、IDScan.netが侵害元であるとFBIが公式認定したわけではありません。

なぜ免許証画像の漏えいは危険なのか

運転免許証の漏えいは、メールアドレスや電話番号だけの漏えいと性質が異なります。

免許証には、

• 氏名
• 住所
• 生年月日
• 顔写真
• 免許証番号
• 有効期限
• バーコード情報

など、本人確認に利用される情報が集約されています。

さらに高精細な表裏画像があれば、偽造書類の作成やオンライン本人確認の突破に使われる可能性があります。

今回のように赤外線・紫外線画像まで含まれる場合、通常の写真以上に「本物のIDが持つ特徴」を模倣するための材料になり得ます。

一度漏れた免許証画像はパスワードのように変えられない

パスワードは漏えい後に変更できます。

しかし、氏名、生年月日、顔写真などは簡単には変更できません。

免許証番号は一定の条件で再交付や変更が可能な場合がありますが、本人の基礎属性そのものは残ります。

そのため、本人確認書類の画像が漏えいした場合、数年後でも、

• 偽造本人確認書類
• 他人名義の口座開設
• ローン申請
• 携帯電話契約
• 暗号資産取引所のKYC
• フリマ・決済サービスの本人確認
• なりすましによるアカウント復旧

などに転用されるリスクがあります。

日本の免許証漏洩事例：WelcomeHRで免許証・マイナンバーが漏えい

同様の問題は日本でも発生しています。

セキュリティ対策Labでは、労務管理サービス「WelcomeHR」を提供するワークスタイルテックの情報漏えい事案を継続して取り上げています。

同社は2024年3月、クラウドストレージのアクセス権限設定不備をきっかけに第三者による不正アクセスが発生し、保存されていた個人情報がダウンロードされたことを確認しました。

対象には、

• 氏名
• 住所
• 電話番号
• 銀行口座情報
• マイナンバー
• 運転免許証
• パスポート
• 在留カード

などが含まれていました。

ワークスタイルテックは最終的に162,830人が対象となり、このうち154,650人分について第三者によるダウンロードが確認されたとしています。

WelcomeHRを提供するワークスタイルテックが個人情報漏洩に関しての再発防止策を発表

日本でも「運転免許証2万件超を販売」とする地下市場の投稿を確認

日本でも、運転免許証などの本人確認書類が地下市場で売買されている可能性を示す事例が確認されています。

セキュリティ対策Labは2026年4月、ハッカーフォーラム上で「日本の運転免許証データを2万件超保有している」とうたう販売投稿を確認しました。

投稿では、運転免許証だけでなく、パスポート、IDカード、selfie付きKYCデータなども世界規模で扱っていると説明しており、単発の漏えいというより、本人確認書類やKYCデータ自体が地下市場の商品として流通している実態を示すものでした。

セキュリティ対策Labが確認したサンプルには、日本の運転免許証とみられる画像が複数含まれていました。画像には氏名、住所、生年月日、免許証番号、交付日、有効期限、顔写真など、本人確認に利用される主要情報が含まれていました。

また、画像の撮影状況は統一されておらず、机上、床上、布地、膝上など背景がばらばらでした。この特徴から、単一の公的データベースから一括取得された画像というより、利用者がスマートフォン等で撮影して提出した本人確認画像が集積された可能性があります。

一方、流出元の企業やサービスは特定できていません。

当時の記事でも、eKYC事業者、本人確認書類の画像保管を行う委託先、審査BPO、身分証アップロードを伴うサービスなどが候補として考えられる一方、一次情報だけでは漏えい元を断定できないとしています。

今回の米国・カナダのNexus事案と、日本で確認した2万件超の販売投稿には、「本人確認書類が単なる個人情報ではなく、地下市場で再利用価値の高いデータとして扱われている」という共通点があります。

ハッカーが日本の運転免許証など2万件超を販売か-eKYC関連から個人情報漏洩の恐れ

日本通信でも本人確認書類の誤表示

2025年2月には、日本通信の法人向けオンライン申し込みシステムで、別の法人契約担当者の本人確認書類が誤って表示される事案も発生しました。

対象は2名と小規模でしたが、氏名、住所、運転免許証やマイナンバーカードなどが他の利用者へ表示される可能性がありました。

日本通信、法人向けオンライン申し込みで個人情報誤表示で情報漏洩の可能性

免許証情報の漏えいは、攻撃による大規模流出だけでなく、システム不具合や設定ミスでも起こります。

2027年、日本の本人確認は画像依存からICチップ確認へ

日本では2027年4月、犯罪収益移転防止法に基づく本人確認方法が大きく変わります。

非対面では、運転免許証などの券面画像と本人の顔を撮影して送信する方式の多くが廃止され、ICチップ情報や公的個人認証を利用する方式へ移行します。

背景には、本人確認書類画像の偽造・改ざんや、画像だけを使ったなりすましへの懸念があります。

犯収法の本人確認、2027年4月に大幅変更 身分証の画像・コピーからICチップ確認へ、企業が見直すべきKYCフロー

今回のように、本物の本人確認書類画像そのものが大量に流出するリスクを考えると、画像だけに依存しない本人確認への移行はセキュリティ面でも重要です。

本人確認事業者は「最重要サプライチェーン」になりつつある

eKYCや年齢確認、本人確認APIの普及により、多くの企業が身分証データを自社で直接処理せず、外部の本人確認事業者へ委託しています。

この仕組みは利便性が高い一方、多数の企業の高価値データが一つの事業者へ集中します。

本人確認事業者が侵害された場合、

「1社の顧客情報漏えい」

ではなく、

「複数業種・複数サービスの本人確認データが横断的に流出する」

サプライチェーン型のインシデントになります。

今回Nexusが主張する規模が事実であれば、その集中リスクが極端な形で表面化した事例になります。

情報システム・セキュリティ部門への示唆

本人確認サービスを利用する企業では、「eKYCベンダーを導入したので安全」と考えるべきではありません。

むしろ、運転免許証やマイナンバーカードなどを外部へ送信する以上、その委託先は最重要のデータ処理事業者として管理する必要があります。

確認すべき項目は、

• 本人確認書類の画像を保存する必要があるか
• 保存期間を最小限にできるか
• 表裏画像を保存せず、真贋判定結果だけ保持できないか
• ICチップや公的個人認証へ移行できないか
• 委託先が再委託するクラウド・AI事業者を把握しているか
• 保存データが暗号化されているか
• 管理者アクセスをMFA・最小権限化しているか
• ID画像へのアクセスログを監査できるか
• 大量ダウンロードを検知できるか
• 契約終了後のデータ削除を確認できるか
• 漏えい時に本人通知・再発行支援を行う契約になっているか

です。

特に「本人確認が終わった後も免許証画像を長期間保管する必要があるのか」は再検討すべきです。

本人確認の目的が真正性確認だけであれば、画像そのものを保持し続けることが将来のリスクを増やす場合があります。

利用者側も免許証画像の提出先を把握する必要

個人利用者にとっても、免許証画像を提出する場面は増えています。

レンタカー、ホテル、金融サービス、フリマアプリ、暗号資産、オンライン契約、年齢確認など、日常のさまざまな場所で身分証明書がスキャンされます。

問題は、その画像がどの企業に送られ、どのくらい保存されるのか利用者から見えにくい点です。

一度漏えいした本人確認書類は長期間悪用される可能性があります。

企業側には、本人確認事業者名、保存期間、利用目的、削除条件などを利用者へ分かりやすく説明することも求められます。

出典

• FBI Probes Service Selling 153M+ Drivers Licenses – KrebsOnSecurity
• Authentication SDK – IDScan.net
• Privacy Policy – IDScan.net
• ID Fraud Prevention & ID Verification – IDScan.net
• WelcomeHRを提供するワークスタイルテックが個人情報漏洩に関しての再発防止策を発表 – セキュリティ対策Lab
• ハッカーが日本の運転免許証など2万件超を販売か-eKYC関連から個人情報漏洩の恐れ – セキュリティ対策Lab
• 日本通信、法人向けオンライン申し込みで個人情報誤表示で情報漏洩の可能性 – セキュリティ対策Lab
• 犯収法の本人確認、2027年4月に大幅変更 身分証の画像・コピーからICチップ確認へ、企業が見直すべきKYCフロー – セキュリティ対策Lab