Canadese privacyautoriteiten zijn een onderzoek naar IDScan.net gestart na een grote beveiligingsinbreuk met digitale kopieën van rijbewijzen en andere door de overheid uitgegeven identificatie.
Het Office of the Privacy Commissioner of Canada onderzoekt of het identiteitsverificatiebedrijf voldoende beveiligingsmaatregelen had voordat aanvallers toegang kregen tot informatie die in de cloudomgeving was opgeslagen. Het onderzoek zal ook bepalen of IDScan.net getroffen personen correct hebben geïnformeerd, zoals vereist volgens de Canadese federale privacywet voor de private sector.
IDScan.net levert technologie die bedrijven gebruiken om door de overheid uitgegeven identiteit te verifiëren. De diensten worden gebruikt in sectoren zoals horeca en nachtleven, wat betekent dat het bedrijf bijzonder gevoelige informatie kan verwerken wanneer klanten hun identiteit bewijzen.
Het incident trok aandacht nadat een dark-web-marktplaats genaamd Nexus naar verluidt toegang bood tot een enorme verzameling identiteitsdocumenten uit de Verenigde Staten en Canada. De markt beweerde ongeveer 153 miljoen rijbewijsgegevens te bezitten, naast miljoenen andere identiteitsdocumenten.
Dat cijfer is niet bevestigd door IDScan.net of Canadese autoriteiten als het aantal getroffen mensen door het datalek van het bedrijf. Berichten over de markt gaven ook aan dat ongeveer 1,1 miljoen zoekopdrachten overeenkwamen met Canadese rijbewijzen, maar het exacte aantal Canadese slachtoffers blijft onbekend.
IDScan.net maakte het beveiligingsincident op 4 september openbaar nadat ze rond 1 september informatie hadden ontvangen waaruit bleek dat gegevens mogelijk zonder toestemming waren benaderd. Het bedrijf stelde later vast dat een ongeautoriseerde derde partij mogelijk klantinformatie heeft benaderd of gekopieerd die in accounts in de IDScan.net cloud was opgeslagen.
Mogelijk gecompromitteerde informatie omvat volledige namen en rijbewijsnummers of andere door de overheid uitgegeven identificatienummers. De bredere collectie die online werd geadverteerd, bevatte naar verluidt digitale afbeeldingen van identiteitsdocumenten, hoewel de autoriteiten de volledige reikwijdte van de uit IDScan.net verkregen informatie niet openbaar hebben vastgesteld.
Het bedrijf zegt dat het mogelijk getroffen personen op de hoogte stelt en gratis kredietmonitoring- en identiteitsbeschermingsdiensten aanbiedt. De FBI heeft ook erkend meldingen rond de gestolen identiteitsdocumenten te hebben onderzocht.
Het Canadese onderzoek zal zich nu richten op de beveiligingsmaatregelen van IDScan.net en de reactie op het incident onder de Personal Information Protection and Electronic Documents Act. De privacycommissaris heeft geen tijdlijn gegeven voor het afronden van het onderzoek, vanwege de actieve aard van de zaak.