Serviço da dark web Nexus vende 153 milhões de carteiras de motorista ligadas à IDScan.net

Um mercado da dark web chamado Nexus foi flagrado vendendo digitalizações de mais de 153 milhões de carteiras de motorista de residentes dos EUA e Canadá, junto com 10 milhões de cartões de identidade, 3 milhões de documentos de viagem e 579 mil cartões médicos, segundo o jornalista investigativo Brian Krebs. O escritório do FBI em Nova Orleans abriu uma investigação sobre a origem aparente do vazamento.

A escala dessa violação a diferencia dos incidentes rotineiros de roubo de identidade. A maioria dos bancos de dados de credenciais vazadas contém nomes, e-mails e senhas — reutilizáveis, mas substituíveis. As digitalizações de carteiras de motorista são diferentes: incluem detalhes biométricos físicos, datas de validade e números de documentos emitidos pelo governo, muito mais difíceis de trocar para as vítimas, e as próprias imagens (frente e verso, além de escaneamentos infravermelho e ultravioleta) podem ser usadas para falsificar cópias físicas ou digitais convincentes.

Krebs rastreou os dados até a IDScan.net, uma empresa de verificação de identidade sediada na Louisiana que afirma processar mais de 21 milhões de verificações de identidade por mês para clientes como Hertz, Target, FedEx e Caesars Entertainment. A análise de carimbos de data/hora em várias digitalizações de vítimas coincidiu com datas em que haviam alugado veículos da Hertz, sugerindo que os balcões de aluguel de carros — não aeroportos ou dispensários, apesar do negócio de verificação para dispensários da IDScan.net — foram um provável ponto de comprometimento.

A violação alcança os mais altos escalões do governo: a carteira de motorista do secretário de Defesa dos EUA, Pete Hegseth, estava entre os registros à venda, ao lado de vários outros funcionários seniores. Krebs relatou que o operador da Nexus ofereceu sua própria carteira da Virgínia como amostra grátis ao anunciar o serviço — e que o banco de dados cresceu cerca de 400 mil novos registros em 24 horas após seu relatório inicial.

A Nexus teria saído do ar pouco depois que a reportagem de Krebs atraiu atenção pública, mas isso não desfaz a exposição: uma vez copiadas, as digitalizações físicas de identidade podem ser revendidas indefinidamente em outras plataformas.