Die kanadischen Datenschutzbehörden haben eine Untersuchung gegen IDScan.net eingeleitet, nachdem es eine schwere Sicherheitsverletzung gab, die digitale Kopien von Führerscheinen und anderen von der Regierung ausgestellten Ausweise betraf.
Das Büro des Datenschutzbeauftragten Kanadas prüft, ob das Identitätsverifizierungsunternehmen ausreichende Sicherheitsvorkehrungen hatte, bevor Angreifer Zugriff auf Informationen erhielten, die in seiner Cloud-Umgebung gespeichert waren. Die Untersuchung wird außerdem feststellen, ob IDScan.net betroffenen Personen gemäß Kanadas bundesstaatlichem Datenschutzgesetz ordnungsgemäß informiert wurde.
IDScan.net stellt Technologien bereit, die Unternehmen zur Überprüfung von von der Regierung ausgestellten Identitäten nutzen. Seine Dienstleistungen werden in Branchen wie Gastgewerbe und Nachtleben genutzt, sodass das Unternehmen besonders sensible Informationen verarbeiten kann, die gesammelt werden, wenn Kunden ihre Identität nachweisen.
Der Vorfall erregte Aufmerksamkeit, nachdem berichtet wurde, dass ein Dark-Web-Marktplatz namens Nexus Zugang zu einer riesigen Sammlung von Ausweisdokumenten aus den Vereinigten Staaten und Kanada bietet. Der Marktplatz behauptete, etwa 153 Millionen Führerscheinunterlagen sowie Millionen anderer Ausweisdokumente zu besitzen.
Diese Zahl wurde von IDScan.net oder den kanadischen Behörden als Zahl der von der Datenpanne Betroffenen des Unternehmens nicht bestätigt. Berichte über den Marktplatz deuteten ebenfalls darauf hin, dass etwa 1,1 Millionen Durchsuchungen mit kanadischen Führerscheinen korrespondierten, aber die genaue Zahl der kanadischen Opfer bleibt unbekannt.
IDScan.net öffentlich den Sicherheitsvorfall am 4. September, nachdem er etwa am 1. September Informationen erhalten hatte, die darauf hindeuteten, dass Daten möglicherweise ohne Genehmigung abgerufen worden waren. Das Unternehmen stellte später fest, dass möglicherweise ein unbefugter Dritter Kundeninformationen in Konten in der IDScan.net Cloud abgerufen oder kopiert hatte.
Potenziell kompromittierte Informationen umfassen vollständige Namen und Führerscheinnummern oder andere von der Regierung ausgestellte Identifikationsnummern. Die größere online beworbene Sammlung enthielt Berichten zufolge digitale Bilder von Ausweisdokumenten, obwohl die Behörden den vollständigen Umfang der aus IDScan.net entnommenen Informationen nicht öffentlich festgelegt haben.
Das Unternehmen gibt an, potenziell betroffene Personen zu benachrichtigen und kostenlose Kreditüberwachungs- sowie Identitätsschutzdienste anzubieten. Das FBI hat zudem zugegeben, Berichte im Zusammenhang mit den gestohlenen Identitätsdokumenten untersucht zu haben.
Die kanadische Untersuchung konzentriert sich nun auf die Sicherheitsmaßnahmen von IDScan.net und seine Reaktion auf den Vorfall nach dem Gesetz zum Schutz personenbezogener Daten und elektronische Dokumente. Der Datenschutzbeauftragte hat keinen Zeitplan für den Abschluss der Untersuchung genannt und verweist auf die aktive Natur des Falls.