Parece que hackers violaram um importante serviço de verificação de cartão de identificação

Se você entregou sua carteira de motorista, passaporte ou outro tipo de documento de identidade para verificar suas informações no mundo real, como em um bar, uma loja de maconha ou ao reservar um aluguel de carro, há uma boa chance de que ele tenha sido roubado em uma suspeita de violação massiva de dados.

Isso está de acordo com um relatório impressionante do jornalista de segurança independente Brian Krebs, que afirma que uma empresa usada para verificar documentos de identidade emitidos pelo governo no mundo real foi provavelmente hackeada e seus vastos estoques de carteiras de identidade de pessoas foram exfiltrados.

Krebs relata que um site de roubo de identidade chamado Nexus, lançado na dark web esta semana, alegou permitir que os usuários pesquisassem mais de 150 milhões de carteiras de motorista e passaportes pertencentes a pessoas que moram nos Estados Unidos e no Canadá. Uma postagem anunciando o site em um conhecido fórum russo de crimes cibernéticos disse que o Nexus adicionava cerca de meio milhão de novos documentos diariamente, provenientes de uma “grande empresa de verificação de identidade”, o que implica que os hackers tinham acesso quase em tempo real aos sistemas da empresa de verificação de identidade.

O anúncio afirma que “as fotos dos clientes serão exibidas, se disponíveis”. Krebs descobriu que sua carteira de motorista estava entre os registros pesquisáveis ​​no banco de dados, confirmando que os dados eram autênticos. O secretário de Defesa Pete Hegseth também estava entre as pessoas cujas fotos foram listadas no site de busca de identidade.

Um porta-voz do Departamento de Defesa disse ao TechCrunch que “está ciente desses relatórios e os está avaliando”.

Trabalhando com o pesquisador de segurança Zach Edwards, cujo cartão de identificação também foi roubado na violação, Krebs identificou a provável fonte como o serviço de verificação de identidade IDScan. A empresa sediada em Louisiana conta com a confiança de grandes marcas de tecnologia e de consumo para verificar dezenas de milhões de identidades de pessoas em todo o mundo todos os meses.

O presidente-executivo da IDScan, Jimmy Roussel, não respondeu ao pedido de comentários do TechCrunch, mas a diretora de operações da empresa, Jillian Kossman, disse a Krebs que a empresa estava investigando. Krebs disse que o escritório local do FBI em Nova Orleans também está investigando a violação. Um porta-voz do FBI não respondeu à investigação do TechCrunch sobre a violação.

O Nexus ficou offline logo após a publicação do relatório de Krebs.

Esta violação de dados ocorre num momento em que os governos implementam cada vez mais leis de verificação de idade, que dependem em grande parte da exigência de que os adultos carreguem os seus documentos de identidade para verificar se têm idade suficiente para entrar num website ou aplicação. Especialistas em segurança e defensores da privacidade há muito alertam que as empresas que armazenam grandes quantidades de documentos de identidade de pessoas por longos períodos colocam esses dados em risco de roubo por hackers.

Ao que tudo indica, esta seria a maior violação de documentos de identidade conhecida em algum tempo.