ФБР начало проверку после появления на русскоязычном криминальном форуме сервиса Nexus, который продавал цифровые копии водительских прав жителей США и Канады. По данным расследования KrebsOnSecurity, в базе нашли документы более чем на 153 млн человек, включая запись, связанную с министром обороны США Питом Хегсетом.
Люди, чьи права автор смог найти в Nexus, подтверждали даты поездок, совпадавшие со временем в метках на изображениях. В нескольких случаях речь шла о поездках, связанных с арендой машины у Hertz, а у одного человека совпадение пришлось на время командировки, когда он вообще не летал и пользовался арендой автомобиля.
У некоторых записей рядом с изображениями были сохранены временные метки, а в одном случае набор включал шесть файлов с одной и той же лицензией: фронт, оборот, обычный скан, а также версии в инфракрасном и ультрафиолетовом диапазоне. Автор также обнаружил, что в одном случае временная отметка на скане совпадала с днём его поездки в июне 2025 года, хотя в аэропорту он показывал не права, а паспорт США.
Сходные совпадения нашлись и у матери автора: её запись в системе имела метки, отличавшиеся от его всего на несколько секунд. По его словам, в тот день они вместе передали документы представителю Hertz и ждали, пока тот несколько минут держал их за стойкой.
К расследованию подключился и исследователь безопасности Зак Эдвардс. Его запись тоже оказалась в Nexus, а временная отметка совпадала со временем поездки на конференцию DEF CON в Лас-Вегасе. Эдвардс сказал, что в тот день показывал документ на контроле TSA, в магазине каннабиса Planet13 и в отеле Aria, но устройство для сканирования наверняка использовали только в магазине.
Planet13 и Hertz в материале упоминаются как клиенты idscan.net, компании из Нового Орлеана, которая занимается идентификационной проверкой. В 2022 году она сообщала об эксклюзивном соглашении с сетью Planet13, а на своем сайте указывала среди клиентов Hertz, Target, FedEx, Motorola Solutions, Jack Henry и Caesars Entertainment. В документации idscan.net также говорится, что ее системы работают с инфракрасным и ультрафиолетовым сканированием.
У компании idscan.net автор запросил комментарий, и там подтвердили, что проверяют ситуацию. В ответе Джиллиан Коссман, руководителя по маркетингу и операциям, говорилось, что дополнительные детали пока раскрыть нельзя, но переданные сведения помогли их команде в расследовании.
Во второй половине дня автору сообщили на созвоне с несколькими агентами ФБР, включая руководителей из киберподразделения, что нью-орлеанское отделение бюро открыло официальное расследование возможной утечки, связанной с idscan.net. Спустя несколько часов после публикации сайт Nexus пропал из даркнета, а на странице входа появилось сообщение о том, что сервис больше недоступен.