Meerdere rechtszaken zijn aangespannen tegen het identiteitsverificatiebedrijf IDScan nadat hackers de dienst zouden hebben gehackt en meer dan 153 miljoen scans van rijbewijzen te koop aanboden. Diverse advocatenkantoren, waaronder Markovits, Stock & DeMarco en Hall Attorneys, zijn een onderzoek gestart naar mogelijke collectieve rechtszaken naar aanleiding van het beveiligingsincident bij IDScan.

Brian Krebs meldde op 1 september dat een darkwebdienst voor identiteitsdiefstal, genaamd “Nexus”, toegang aanbood tot meer dan 153 miljoen scans van Amerikaanse en Canadese rijbewijzen, 10 miljoen ID-kaarten, 3 miljoen reisdocumenten en 579.000 medische kaarten. Krebs verifieerde de gelekte data door te zoeken naar zijn eigen gegevens en die van andere personen die toestemming hadden gegeven, en traceerde het lek terug naar IDScan. Dit bedrijf levert hardware en software waarmee organisaties overheidsidentiteitsdocumenten kunnen scannen, authenticeren en uitlezen. De systemen van IDScan worden in de VS gebruikt door autoverhuurbedrijven, retailers, wapenwinkels, financiële instellingen, cannabiswinkels en horecagelegenheden.

IDScan heeft nog geen verklaring afgegeven over de aantijgingen en reageerde niet op verzoeken om commentaar. Het is op dit moment onduidelijk of de systemen van IDScan daadwerkelijk zijn gecompromitteerd en hoeveel personen getroffen zijn. Het FBI-kantoor in New Orleans is een onderzoek gestart naar het incident, wat ook onafhankelijk werd bevestigd door Reuters. De FBI heeft nog geen officiële verklaring afgegeven.

De illegale dienst Nexus is inmiddels offline, maar cybercriminelen hebben nog steeds toegang tot de database. De rechtszaken zijn ingediend in Louisiana, waar IDScan is gevestigd, en stellen dat het bedrijf heeft nagelaten de informatie van klanten, zoals de wereldwijde autoverhuurder Hertz, te beschermen. Volgens Markovits, Stock & DeMarco is IDScan rond 1 september begonnen met het informeren van enkele zakelijke klanten. Personen van wie de ID’s zijn gescand via bedrijven die gebruikmaken van IDScan kunnen mogelijk getroffen zijn. De advocaten zoeken potentiële eisers voor een mogelijke collectieve actie. Gezien de omvang van het incident kunnen er meer rechtszaken volgen, die mogelijk worden samengevoegd tot multidistrict litigation. Ook kunnen staatsprocureurs en federale toezichthouders aparte onderzoeken of handhavingsmaatregelen starten, zoals eerder gebeurde bij vergelijkbare datalekken bij onder andere 23andMe, Marriott en Equifax.