Violazione espone 153 milioni di patenti di guida sul dark web

Un servizio di furto d'identità sul dark web chiamato Nexus offre più di 153 milioni di scansioni di patenti di guida di persone negli Stati Uniti e in Canada, e l'FBI ha aperto un'indagine sulla fonte apparente presso un fornitore di verifica dell'identità con sede in Louisiana chiamato idscan.net. Il servizio è stato lanciato il 31 agosto sul forum di cybercriminalità russo Exploit, che fa parte del dark web, una parte di Internet non indicizzata dai normali motori di ricerca e raggiungibile solo con software speciali. Una fonte ha avvisato KrebsOnSecurity dopo che l'operatore del servizio ha pubblicato la patente di guida della Virginia della pubblicazione come campione gratuito.

Nexus afferma di detenere 153 milioni di patenti di guida, più di 10 milioni di carte d'identità, oltre tre milioni di documenti di viaggio o ID internazionali e almeno 579.000 tessere sanitarie. Una ricerca vuota sul servizio restituisce circa 11,5 milioni di pagine di risultati, con circa 15 record per pagina. La maggior parte dei record proviene dagli Stati Uniti, ma circa 1,1 milioni sono canadesi, con la più alta concentrazione in Ontario con 473.673 record. I record includono anche tessere per dispensari di marijuana e alcuni riportano notazioni di provenienza come 'CDL' (probabilmente patente di guida commerciale) e 'CAC' (possibilmente Common Access Cards utilizzate per l'accesso fisico agli edifici governativi). Gli operatori di Nexus affermano che i dati provengono da una violazione attiva presso una grande azienda di verifica dell'identità i cui clienti includono numerose aziende Fortune 500, e dicono di aver esfiltrato continuamente dati, cioè copiandoli senza autorizzazione, per oltre un anno. Il numero di record di patenti di guida elencati in Nexus è aumentato di quasi 400.000 in 24 ore, indicando che nuovi dati vengono ancora raccolti.

Il giornalista di KrebsOnSecurity ha scoperto che il proprio record della patente della Virginia includeva sei file immagine: scansioni fronte e retro, un'immagine di base e versioni a infrarossi e ultravioletti, che sono immagini scattate sotto luce non visibile per mostrare caratteristiche di sicurezza come ologrammi e microstampa. Il timestamp sulla scansione della patente corrispondeva a un volo del giugno 2025, ma il giornalista non ha usato la patente ai controlli di sicurezza aeroportuali perché ha mostrato un passaporto statunitense. La patente è stata consegnata a un rappresentante di Hertz per il noleggio auto nello stesso momento di quella della madre del giornalista, e i timestamp sui loro due record sono distanti solo pochi secondi. KrebsOnSecurity ha chiesto a più di una dozzina di amici e familiari il permesso di cercare le loro patenti nel servizio, e ciascuna delle nove persone trovate ha confermato di aver viaggiato nelle date o molto vicino alle date nei timestamp delle loro immagini. Una persona non aveva volato di recente ma aveva noleggiato un'auto da Hertz per diversi mesi intorno alla data del timestamp. I timestamp sembrano essere impostati sul Tempo Medio di Greenwich in base ai registri di noleggio auto condivisi da diversi partecipanti.

Il ricercatore di sicurezza e privacy Zach Edwards, che gestisce il servizio DecryptAds, ha trovato la sua patente su Nexus con un timestamp che corrisponde alla metà di un viaggio a Las Vegas per la conferenza sulla sicurezza DEFCON. Edwards ha detto di aver dato la sua patente a un checkpoint TSA, a un dispensario di marijuana chiamato Planet13 e al suo hotel, ma l'unico posto che ha sicuramente scansionato la carta con un dispositivo è stato il dispensario. Planet13, una catena di dispensari multi-stato, ha un accordo esclusivo di verifica dell'identità con idscan.net, un fornitore con sede a New Orleans che afferma di elaborare la verifica dell'identità per più di 1.000 dispensari in 19 stati degli Stati Uniti. La pagina di fiducia di idscan.net elenca clienti tra cui Hertz, Target, FedEx, Motorola Solutions, Jack Henry e Caesars Entertainment, e la sua documentazione afferma che la sua tecnologia scansiona gli ID con luce infrarossa e ultravioletta. L'azienda afferma di eseguire più di 21 milioni di verifiche al mese in oltre 20.000 sedi in tutto il mondo.

Quando è stato contattato da KrebsOnSecurity, idscan.net ha detto che stava indagando ma non ha fornito una risposta sostanziale. Jillian Kossman, una leader di marketing e operazioni presso idscan.net, ha scritto che l'azienda non poteva condividere più informazioni ma ha accolto con favore gli aggiornamenti per aiutare le indagini del suo team. L'ufficio sul campo dell'FBI a New Orleans ha aperto un'indagine ufficiale su un'apparente violazione che coinvolge idscan.net, e gli agenti dell'FBI della divisione cyber hanno tenuto una conference call con KrebsOnSecurity. Il giornalista aveva appreso che Nexus stava anche vendendo le informazioni della patente di guida di un vicedirettore dell'FBI, anche se la patente del Direttore dell'FBI non è stata trovata sul servizio.

Larry Baldwin, ricercatore principale di intelligence presso la società di cybersecurity Cybera, ha scoperto che una scansione fronte e retro della sua patente di guida su Nexus aveva timestamp corrispondenti a un recente noleggio auto per vacanze da Hertz. Baldwin ha detto che il servizio presenta serie minacce alla sicurezza e alla privacy perché le patenti di guida rilasciate dallo stato sono comunemente usate come prova di identità quando si aprono nuove linee di credito. Ha anche notato che le persone che non possono cambiare significativamente il loro aspetto, come quelle che fuggono dalla violenza domestica o individui nel programma federale di protezione dei testimoni, potrebbero essere pericolosamente esposte dagli strumenti di corrispondenza delle immagini basati sull'IA. Baldwin ha detto che proprio mentre i controlli di autenticazione attraverso i sistemi di verifica delle patenti di guida stavano migliorando, questo incidente compromette proprio ciò da cui dipendono quei miglioramenti.

L'8 settembre, idscan.net ha pubblicato un breve avviso in cui affermava di aver determinato che una terza parte non autorizzata potrebbe aver avuto accesso o copiato determinate informazioni dei clienti, inclusi nomi completi e numeri di patente di guida o altri documenti di identificazione rilasciati dal governo. L'azienda ha dichiarato di aver notificato le persone coinvolte e di offrire servizi di protezione del credito. Separatamente, un portavoce di Caesars Entertainment ha dichiarato che Caesars non è stato un cliente di idscan.net e non ha utilizzato il suo prodotto VeriScan da febbraio 2025, non ha autorizzato idscan.net a conservare i dati dei suoi account e ha ricevuto da idscan.net la comunicazione che l'incidente non dovrebbe avere alcun impatto su Caesars. Poco dopo la pubblicazione della storia, il sito web del servizio Nexus è scomparso dal dark web e ha sostituito la sua pagina di accesso con un messaggio che recita 'Questo servizio non è più disponibile.'

Questo incidente è un promemoria che qualsiasi servizio che scansiona e memorizza patenti di guida diventa un bersaglio di alto valore. Per i proprietari di siti web e le aziende che utilizzano servizi di verifica dell'identità, applicare principi di sicurezza-first alle relazioni con i fornitori è fondamentale, e AEU-I, la pratica di consulenza IT e sicurezza-first di AEU Group, lavora con le organizzazioni su decisioni IT e infrastrutturali security-first.