פרצת הענק ב-IDScan: 150 מיליון רישיונות נהיגה נגנבו מספק אימות הזהות של העסקים
פריצה לספק אימות זהות שמשמש אלפי עסקים חשפה מעל 150 מיליון רישיונות נהיגה ומסמכי זהות. מה זה מלמד על ניהול סיכוני ספקים ועל האחריות של עסקים למידע שהם מעבירים הלאה.
בתחילת ספטמבר 2026 התברר שחברת IDScan.net, אחת החברות המובילות בעולם לאימות מסמכי זהות, נפרצה - ופרטים של יותר מ-150 מיליון רישיונות נהיגה, כ-10 מיליון תעודות זהות וכ-3 מיליון דרכונים נגנבו מהענן שלה ועלו למכירה באתר פשע מקוון בשם Nexus. מה שהופך את המקרה למשמעותי במיוחד הוא שהחברה הנפרצת היא לא בנק, לא רשת קמעונאית ולא רשת חברתית - אלא ספק טכנולוגי "מאחורי הקלעים" ששירת אלפי עסקים שרק רצו לוודא שהלקוח שמולם הוא באמת מי שהוא טוען להיות. זהו תזכורת חדה לכך שכל עסק שמעביר מידע רגיש לספק חיצוני נושא באחריות גם על מה שקורה אצל אותו ספק.
מה בדיוק קרה
לפי הדיווחים, תוקפים חדרו למערכות הענן של IDScan.net במשך כשנה שלמה לפני שהפריצה התגלתה, בסביבות 1 בספטמבר. החברה, שממוקמת בלואיזיאנה ומספקת סורקי מסמכים ושירותי אימות זהות ללקוחות עסקיים - ממקומות בילוי ואולמות אירועים ועד חברות השכרת רכב ומסחר מקוון - אישרה את הפריצה רק לאחר שהמידע כבר הוצע למכירה. הרשומות שנחשפו כוללות שמות מלאים, מספרי רישיון נהיגה, מספרי תעודות זהות ומסמכי מסע, וה-FBI פתח בחקירה. חשוב לציין שהיקף המדויק של האנשים הנפגעים טרם אומת באופן רשמי - הנתון של 150 מיליון מגיע מהמודעה באתר הפשע עצמו.
למה דליפת מסמכי זהות חמורה יותר מדליפה רגילה
דליפה של סיסמה או מספר כרטיס אשראי מציקה, אבל ניתנת לתיקון: מחליפים סיסמה, מבטלים כרטיס ומנפיקים חדש. מספר רישיון נהיגה או תעודת זהות הוא לרוב קבוע לכל החיים. כשמידע כזה נגנב, הוא הופך לכלי זמין לגניבת זהות, לפתיחת חשבונות בנק במרמה, לעקיפת מנגנוני "דעת את הלקוח שלך" (KYC) ואפילו לזיוף מסמכים פיזיים. בניגוד לסיסמה, אי אפשר "לאפס" תעודת זהות - מה שהופך אירועים כאלה לנזק ארוך טווח עבור מיליוני אנשים, ובעקיפין גם עבור כל עסק שהזדהות מול אותם אנשים היא חלק מהתהליך העסקי שלו.
הסיכון הנסתר של ספקי צד שלישי
עסקים רבים היום לא אוגרים בעצמם מסמכי זהות - הם פשוט מעבירים אותם לשירות חיצוני שמבצע את הסריקה, האימות והשמירה בענן. זה נוח וחוסך פיתוח פנימי, אבל המשמעות היא שרמת האבטחה של העסק תלויה כעת גם ברמת האבטחה של ספק שאין לו שליטה ישירה עליו. עסק שמשתמש בשירות אימות זהות לצורך גיוס עובדים, השכרת ציוד, אימות גיל בכניסה לאירוע או קליטת לקוחות בתהליכי פתיחת חשבון - חשוף לסיכון גם אם מעולם לא נפרץ בעצמו. זהו בדיוק הדפוס שראינו לאחרונה גם בפרצות שרשרת אספקה אחרות: התוקפים לא צריכים לפרוץ לכל עסק בנפרד, מספיק שהם פורצים לספק אחד ששירת אלפי לקוחות.
מה עסקים בישראל צריכים לבדוק עכשיו
ראשית, כדאי למפות אילו ספקים חיצוניים מקבלים מהעסק מסמכי זהות של לקוחות או עובדים - סורקי מסמכים, שירותי KYC, פלטפורמות גיוס או מערכות ניהול לקוחות - ולוודא שיש להם אמצעי אבטחה מתועדים ולא רק הבטחה בעל פה. שנית, רצוי לבחון האם ניתן לצמצם את כמות המידע המועבר לספק מלכתחילה: לעיתים קרובות אין צורך לשמור עותק מלא של מסמך הזהות לאורך זמן, אלא רק לאשר שהבדיקה בוצעה. שלישית, כדאי לזכור שתיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף בשנה האחרונה, מטיל על עסקים בישראל חובות מוגברות לגבי מאגרי מידע ועיבוד מידע אצל ספקים חיצוניים - כולל חובת דיווח על אירועי אבטחה חמורים. ולבסוף, שווה לוודא שיש לעסק תוכנית תגובה ברורה למקרה שבו ספק שאיתו עובדים מדווח על פריצה - כולל דרך ליידע לקוחות מושפעים במהירות.
המקרה של IDScan.net הוא תזכורת לכך שאבטחת מידע כבר לא נגמרת בגבולות הרשת הפנימית של העסק. כל עסק שמסתמך על ספק חיצוני לאימות זהות, לתשלומים או לניהול מידע רגיש אחר, כדאי שיבדוק את שרשרת האספקה הדיגיטלית שלו לא פחות מאשר את ההגנות הפנימיות שלו - כי הנזק מגיע היום ממקומות שהעסק לא תמיד שולט בהם ישירות.
