De Canadese privacytoezichthouder is een onderzoek gestart naar een datalek bij IDScan.net, een Amerikaans bedrijf dat technologie levert voor het controleren van identiteitsdocumenten. Bij de aanval zijn persoonsgegevens gestolen waaronder scans van rijbewijzen en andere identiteitsdocumenten.

Privacy Commissioner of Canada Philippe Dufresne gaat onder andere onderzoeken welke beveiligingsmaatregelen IDScan ten tijde van het datalek had getroffen. Ook wordt gekeken of de betrokken personen op adequate wijze over het incident zijn geïnformeerd. De toezichthouder onderzoekt daarmee of IDScan heeft voldaan aan de Personal Information Protection and Electronic Documents Act (PIPEDA), de Canadese federale privacywet voor de private sector.

IDScan levert technologie waarmee bedrijven door overheden uitgegeven identiteitsdocumenten kunnen controleren. De technologie wordt veelal gebruikt in de horeca en uitgaanssector. Het bedrijf maakte het datalek op 4 september bekend en stelt dat een onbevoegde derde mogelijk toegang heeft gekregen tot klantgegevens die in de IDScan cloudomgeving waren opgeslagen en deze wellicht heeft gekopieerd. De getroffen gegevens kunnen onder meer volledige namen en nummers van rijbewijzen en andere door overheden uitgegeven identiteitsdocumenten bevatten. IDScan heeft niet bekendgemaakt hoeveel personen door het incident zijn getroffen.

Het datalek kwam aan het licht nadat cybercriminelen op het darkweb een dataset te koop aanboden die volgens hen meer dan 153 miljoen scans van rijbewijzen van Amerikanen en Canadezen bevat. Daarnaast zou de dataset miljoenen andere identiteitsdocumenten bevatten. IDScan heeft deze aantallen niet bevestigd.

Volgens The Record ontdekte IDScan het incident rond 1 september. Diezelfde dag meldde securityjournalist Brian Krebs dat de gegevens op het darkweb werden aangeboden. Krebs wist verschillende voorbeelden uit de aangeboden dataset te verifiëren en legde een verband met IDScan.

De Canadese privacytoezichthouder zegt sinds de bekendmaking van het incident contact met IDScan te onderhouden. Daarbij wordt erop toegezien dat het bedrijf maatregelen neemt om de gevolgen voor de Canadezen te beperken. Vanwege het lopende onderzoek verstrekt de toezichthouder vooralsnog geen verdere details. Ook de FBI doet onderzoek naar het incident. Hoe de aanvallers toegang tot de systemen van IDScan hebben gekregen, is vooralsnog niet bekendgemaakt.