Un servizio del dark web vende 153 milioni di scansioni di patenti di guida

Un servizio del dark web che si fa chiamare Nexus sta vendendo scansioni di patenti di guida di oltre 153 milioni di persone negli Stati Uniti e in Canada, e le immagini sembrano essere state sottratte dai sistemi di un'azienda di verifica dell'identità molto utilizzata con sede in Louisiana. L'ufficio locale di New Orleans del Federal Bureau of Investigation (FBI) ha aperto un'indagine ufficiale sulla questione il 1° settembre 2026, secondo quanto riportato da KrebsOnSecurity, che ha rintracciato i registri e ha identificato il fornitore al centro del caso come IDscan.net. Il dark web è la parte di internet raggiungibile solo con software speciali e non elencata dai normali motori di ricerca.

La storia è emersa quando una fonte ha avvisato KrebsOnSecurity lunedì 31 agosto di un servizio pubblicizzato da un nuovo utente su Exploit, un forum cybercriminale in lingua russa. L'annuncio offriva l'accesso a scansioni digitali di documenti d'identità appartenenti a più di 170 milioni di persone in Nord America, e il venditore ha incluso la patente della Virginia dello stesso giornalista come campione gratuito nel thread di vendita iniziale.

Nexus afferma di possedere più di 153 milioni di patenti di guida degli Stati Uniti e del Canada, insieme a più di 10 milioni di carte d'identità, più di 3 milioni di documenti di viaggio o ID internazionali e almeno 579.000 tessere sanitarie. Una ricerca vuota sul servizio, senza termini di ricerca inseriti, restituisce circa 11,5 milioni di pagine di risultati a circa 15 risultati per pagina. Filtrando solo le patenti canadesi si ottengono circa 1,1 milioni di risultati, con la maggiore concentrazione singola in Ontario con 473.673 registri.

Il set di dati non si limita ai documenti di guida. I registri includono anche tessere di dispensari di marijuana, e alcune voci riportano un'etichetta di origine "CDL", presumibilmente abbreviazione di commercial driver's license, una patente che consente al titolare di guidare veicoli più grandi come camion e autobus per lavoro. Altri registri sono etichettati "CAC", che potrebbe riferirsi alle Common Access Card, carte d'identità rilasciate dal governo che consentono l'accesso fisico a edifici governativi e sale sicure. Tra i registri c'è la patente di guida del Segretario alla Difesa degli Stati Uniti Pete Hegseth, uno dei diversi alti funzionari governativi le cui patenti si possono trovare sul servizio.

Le persone dietro Nexus affermano che le immagini delle patenti provengono da una violazione attiva presso "una importante azienda di verifica dell'identità" i cui clienti includono diverse aziende Fortune 500, e hanno detto che l'operazione ha raccolto nuovi dati in un database privato per più di un anno. Il servizio ha detto che i registri possono essere visualizzati in anteprima prima dell'acquisto con i dettagli sensibili nascosti, e che le foto dei clienti vengono mostrate quando disponibili. In un singolo periodo di 24 ore durante il periodo del reportage, il conteggio dei registri di patenti di guida elencati come disponibili è aumentato di quasi 400.000, il che suggerisce che dati di patenti appena rubati vengono raccolti e caricati su base semi-regolare.

Per capire da dove provengono le immagini, KrebsOnSecurity ha esaminato i file stessi. Il registro contenente la patente del giornalista conteneva sei immagini: tre coppie di fotografie del fronte e del retro della carta, una scansione di base, più versioni a infrarossi e ultravioletti delle stesse immagini, che sono tipi di luce oltre ciò che l'occhio umano può vedere e vengono usate per verificare che un documento d'identità sia autentico. A ogni file era allegata una data e un timestamp, cioè un registro del giorno e dell'ora esatti, e il timbro su quella patente corrispondeva a una data di giugno 2025 quando il giornalista volò nel Midwest degli Stati Uniti per il funerale di un familiare.

A più di una dozzina di amici e familiari è stato chiesto il permesso di cercare le loro patenti. Ognuno dei nove i cui documenti sono stati trovati ha confermato di aver viaggiato in corrispondenza o molto vicino alle date nei timestamp allegati alle loro immagini. Il fuso orario dei timestamp non è chiaro, ma i registri di noleggio auto condivisi da diverse delle persone che hanno aiutato suggeriscono che i timbri siano impostati sul Greenwich Mean Time (GMT), il riferimento orario usato in Gran Bretagna.

Gli aeroporti sono stati una teoria iniziale, ma è caduta perché non ci sono passaporti nel set di dati, e solo alcuni di coloro che hanno aiutato hanno detto di aver mostrato una patente di guida in aeroporto nella loro data di viaggio. Una persona la cui patente è apparsa non aveva volato di recente, ma aveva noleggiato un'auto da Hertz per diversi mesi intorno alla data del suo timestamp. Due degli aiutanti sono dipendenti federali che hanno detto di aver presentato un'altra identificazione governativa ai controlli di sicurezza aeroportuali, eppure entrambi hanno detto di aver consegnato le loro patenti di guida statali più tardi quel giorno quando hanno ritirato i veicoli a noleggio a destinazione, entrambi da Hertz.

Il caso del giornalista stesso punta nella stessa direzione. Una nota sul calendario per il volo di giugno 2025 gli ricordava di portare il passaporto, e ha ricordato di non aver mai mostrato la patente di guida al Reagan National Airport quel giorno perché non possedeva ancora una Real ID, una patente di guida con sicurezza avanzata che la Transportation Security Administration (TSA) ora richiede per tutti i viaggi nazionali; ha mostrato invece il passaporto statunitense. Anche la patente di sua madre era nel servizio, con timestamp a solo pochi secondi di distanza dai suoi, e i due avevano consegnato le loro patenti allo stesso rappresentante Hertz nello stesso momento. Secondo sua madre, il banco del noleggio è stato l'unico posto dove ha dato la sua patente quel giorno. KrebsOnSecurity ha chiesto un commento a Hertz e ha detto che la storia sarebbe stata aggiornata se l'azienda avesse risposto.

Il ricercatore di sicurezza e privacy Zach Edwards, che ha recentemente lanciato un servizio chiamato DecryptAds che aiuta le persone a capire come gli inserzionisti online le tracciano, ha anche trovato la sua patente in vendita. Ha detto che il timestamp sul suo registro corrisponde alla metà di un viaggio a Las Vegas il mese scorso per la conferenza annuale sulla sicurezza DEFCON. Edwards non ha noleggiato un'auto a Las Vegas, ma ha consegnato la sua patente al checkpoint della TSA, in un dispensario di marijuana e nel suo hotel, l'Aria. Di questi tre, ha detto, l'unico posto che ha sicuramente scansionato il suo documento in un dispositivo è stato il dispensario, Planet13, una catena multi-stato con negozi in California, Florida, Illinois e Nevada. Nel 2022, IDscan.net ha pubblicato un comunicato stampa annunciando un accordo esclusivo di verifica dell'identità con i dispensari di Planet13 a livello nazionale, e l'azienda afferma di gestire la verifica dell'identità per più di 1.000 dispensari di marijuana in 19 stati degli Stati Uniti.

La pagina "trust" di idscan.net afferma che l'azienda fornisce servizi di verifica dell'identità per una lista di grandi marchi che include Hertz, Target, FedEx, Motorola Solutions, il gigante dei servizi finanziari Jack Henry e Caesars Entertainment. La documentazione dell'azienda afferma che la sua tecnologia scansiona i documenti con luce sia a infrarossi che ultravioletta, e che i suoi sistemi eseguono più di 21 milioni di verifiche al mese in più di 20.000 località in tutto il mondo. Contattata da KrebsOnSecurity, IDscan.net ha detto che stava indagando ma non aveva ancora emesso una dichiarazione ufficiale né dato una risposta sostanziale a domande specifiche. Jillian Kossman, responsabile marketing e operations dell'azienda, ha detto che in quel momento non poteva condividere ulteriori informazioni e ha descritto gli aggiornamenti forniti come graditi e utili per l'indagine del team.

L'FBI è venuto a conoscenza del reportage durante la ricerca. Il servizio offriva anche le informazioni sulla patente di guida di un vicedirettore dell'FBI, un dettaglio che il giornalista ha condiviso con una fonte fidata; la patente del direttore dell'FBI Kash Patel non è stata trovata. Il giornalista è stato poi aggiunto a una conference call con circa una mezza dozzina di agenti dell'FBI, inclusi alti dirigenti della divisione cyber dell'agenzia, durante la quale l'FBI ha detto che il suo ufficio di New Orleans aveva aperto quel giorno un'indagine ufficiale su un'apparente violazione che coinvolge IDscan.net.

Larry Baldwin, ricercatore principale di intelligence presso la società di cybersecurity Cybera, ha detto che una scansione fronte e retro della sua patente su Nexus riportava timestamp corrispondenti alla data di un noleggio auto da Hertz durante una recente vacanza. Baldwin ha detto che il servizio presenta diverse gravi minacce alla sicurezza e alla privacy, osservando che le patenti di guida statali sono comunemente usate come prova di identità quando qualcuno apre una nuova linea di credito, il che rende le immagini preziose per i truffatori. Ha aggiunto che i dati potrebbero esporre persone che non desiderano essere trovate e che non possono cambiare il proprio aspetto in modo significativo per ingannare gli attuali strumenti di riconoscimento delle immagini basati sull'intelligenza artificiale, un gruppo che include persone in fuga da violenze domestiche e persone a cui è stata data una vita e un'identità completamente nuove nell'ambito del programma federale di protezione dei testimoni, generalmente riservato a imputati in indagini su racket e cospirazione che accettano di collaborare con le autorità federali. Baldwin ha detto che proprio mentre si fanno progressi sui controlli di autenticazione attraverso i sistemi di verifica delle patenti di guida, proprio ciò da cui dipendono quei miglioramenti è stato compromesso.

Edwards ha sostenuto che man mano che sempre più esperienze di persona e online richiedono alle persone di consegnare una patente di guida, i fornitori che raccolgono quei dati sensibili devono essere tenuti a uno standard più elevato. Ha detto che l'episodio dovrebbe rafforzare la determinazione di chi lotta contro i sistemi di identità online che spingono innumerevoli fornitori a chiedere patenti di guida per accedere ai servizi in nome della protezione dei bambini, e che questi sistemi affidano dati sensibili a sempre più fornitori terzi senza una supervisione abbastanza forte da mantenerli al sicuro.

La reazione di un cliente elencato è arrivata rapidamente. Un portavoce di Caesars Entertainment ha detto che l'azienda non è stata cliente di IDscan.net e non ha usato VeriScan da febbraio 2025, nonostante IDscan.net la elenchi come cliente sul suo sito web, aggiungendo che Caesars non aveva account VeriScan attivi al momento dell'incidente, non ha autorizzato IDscan.net a conservare dati dai suoi account, e gli è stato detto che l'incidente non dovrebbe avere alcun impatto su Caesars. L'8 settembre, IDscan.net ha pubblicato un breve avviso dicendo di aver determinato che una terza parte non autorizzata potrebbe aver avuto accesso o copiato certe informazioni dei clienti, inclusi nomi completi e numeri di patente di guida o altri documenti d'identità rilasciati dal governo. L'azienda ha detto che sta notificando gli individui interessati e offrendo servizi di protezione del credito. Poco dopo la pubblicazione del reportage, il sito Nexus è scomparso dal dark web, sostituendo la sua pagina di login con un semplice messaggio di testo che recita "Questo servizio non è più disponibile".

Per i proprietari di siti web e i team IT, il caso è un promemoria che i documenti d'identità sono tra i tipi di dati più pericolosi da conservare, perché a differenza di una password non possono semplicemente essere sostituiti. Qualsiasi organizzazione che fotografa la patente di un cliente a un banco, o chiede ai visitatori del sito web di caricarne una, eredita lo stesso profilo di rischio del fornitore di verifica in questa storia: la copia deve essere conservata, trasmessa e infine cancellata, e ognuno di questi passaggi è un punto in cui può trapelare. Raccogliere il meno possibile e sapere esattamente dove si trovano le copie esistenti sono le misure pratiche disponibili mentre l'indagine dell'FBI continua. I lettori che vogliono ridurre la quantità di informazioni sensibili gestite dai propri sistemi possono dare un'occhiata ad AEU-I, il nostro servizio di IT, infrastruttura e consulenza orientato alla sicurezza.