IDScan.net confirma la brecha: 153 millones de escaneos

IDScan.net, la empresa de verificación de identidad con sede en Luisiana cuyo software comprueba documentos oficiales en comercios, mostradores de alquiler de coches y dispensarios de cannabis, ha confirmado que un tercero no autorizado pudo alcanzar datos guardados en cuentas de clientes de su nube. En un aviso fechado el 4 de septiembre, la compañía señaló que el intruso “pudo haber accedido o copiado determinada información de clientes almacenada en sus cuentas en la nube de IDScan.net”, e identificó esos datos como nombres completos y números de licencia de conducir u otros documentos de identificación oficiales. Supo del posible acceso en torno al 1 de septiembre; los registros en riesgo son los que entraron en su sistema antes de esa fecha.

El aviso llegó tras un anuncio en la dark web que se hizo público el 1 de septiembre, cuando el periodista de seguridad Brian Krebs informó de que un nuevo servicio de robo de identidad llamado Nexus —anunciado en el foro criminal rusoparlante Exploit— vendía acceso consultable a lo que decía eran más de 153 millones de escaneos de licencias de Estados Unidos y Canadá, además de cédulas, documentos de viaje y tarjetas sanitarias. Nexus escribió en su hilo de venta que llevaba “más de un año exfiltrando datos nuevos de forma continua”. IDScan.net no ha confirmado ninguna de esas cifras ni se ha vinculado públicamente con Nexus: esa conexión procede del reportaje de Krebs.

Las pruebas de Krebs son indiciarias, no una admisión de las partes. Su propia licencia de Virginia figuraba como muestra gratuita y, tras pedir permiso a más de una docena de allegados, encontró nueve licencias suyas; todos confirmaron haber viajado en las fechas marcadas en las imágenes o muy cerca de ellas. Varios habían entregado el documento en un mostrador de Hertz y el escaneo de un investigador coincidía con una visita a un dispensario de Las Vegas; IDScan.net incluye a ambos entre sus clientes. Según Krebs, en el conjunto de datos no había pasaportes.

El alcance importa porque casi nadie de los incluidos en esos datos eligió a IDScan.net. Sus clientes le encargan las comprobaciones de edad e identidad —la empresa asegura realizar más de 21 millones de verificaciones al mes en más de 20.000 puntos—, de modo que una licencia escaneada en la puerta de una tienda acaba en la nube de un proveedor del que el cliente jamás ha oído hablar. Esos escaneos son los que bancos y plataformas en línea aceptan como prueba de identidad.

Sigue sin conocerse la magnitud. IDScan.net no ha dicho cuántas personas están afectadas, cuánto duró el acceso ni si se llevaron también las imágenes de los documentos; afirma que especialistas externos aún determinan el alcance, que coopera con las autoridades federales y que ofrecerá monitoreo de crédito y protección de identidad gratuitos a quienes identifique. El FBI dijo a la revista TIME el 3 de septiembre que estaba “revisando el incidente” y declinó ampliar la información. Nexus desapareció pocas horas después del artículo de Krebs, con su página de acceso reducida a la frase “Este servicio ya no está disponible”. Hasta que haya un recuento oficial, los 153 millones seguirán siendo una afirmación del vendedor.