A verificação de identidade está quebrada. As 153 milhões de carteiras de motorista à venda são a prova

Um serviço de roubo de identidade da dark web está oferecendo para venda mais de 153 milhões de digitalizações de carteiras de motorista dos EUA e do Canadá, e o FBI está investigando de onde vieram os dados. A aparente violação é um exemplo particularmente flagrante do problema da economia moderna de verificação de identidade, onde provar quem você é significa fornecer a terceiros cópias permanentes de documentos confidenciais.

De acordo com KrebsOnSecurity⁠, o serviço, chamado Nexus, foi lançado em um fórum de crimes cibernéticos em russo e afirma ter mais de 153 milhões de carteiras de motorista, junto com mais de 10 milhões de outros cartões de identificação, mais de 3 milhões de documentos de viagem e identidades internacionais, e centenas de milhares de cartões médicos.

O número é difícil de verificar de forma independente, mas Krebs encontrou evidências que sugerem que o serviço não é simplesmente um blefe. O banco de dados continha as licenças do próprio Krebs e do secretário de Defesa dos EUA, Pete Hegseth, entre outros funcionários do governo. As licenças incluíam múltiplas imagens dos documentos, incluindo digitalizações de frente e verso e, em alguns casos, versões infravermelhas e ultravioleta.

Os dados também pareciam recentes. A coleção anunciada da Nexus cresceu em quase 400.000 registros de carteiras de motorista em aproximadamente 24 horas, enquanto os operadores alegavam que vinham exfiltrando informações continuamente há mais de um ano.

Krebs rastreou a fonte aparente até IDScan.net⁠, uma empresa de verificação de identidade com sede em Nova Orleans. A empresa afirma que sua tecnologia processa mais de 21 milhões de verificações de identidade todos os meses em mais de 20.000 locais ao redor do mundo.

Os materiais de clientes do IDScan.net mostram o quão profundamente esse tipo de infraestrutura está incorporado no comércio diário. Seu site oficial lista empresas e marcas, incluindo Holiday Inn, 7-Eleven, GameStop, DraftKings, Hertz, Target, FedEx, Shell e Caesars Entertainment entre seus clientes ou integrações.

A conexão é particularmente impressionante porque Krebs descobriu que os carimbos de data e hora anexados a várias licenças vazadas correspondiam a viagens, estadias em hotéis, aluguel de carros e outras interações do mundo real em que as pessoas entregavam suas identidades.

IDScan.net disse que está investigando o incidente, mas não confirmou publicamente que seus sistemas foram a fonte do banco de dados Nexus. A empresa disse a Krebs que não poderia fornecer informações adicionais enquanto a investigação continuasse. O FBI também abriu uma investigação através de seu escritório de Nova Orleans sobre a aparente violação.

‼️ Novo artigo de Brian Krebs: Serviço de investigação do FBI que vende mais de 153 milhões de carteiras de motoristahttps://t.co/S5KEn9pb5v

Dark Web Onion discutido: http://nexusdbbulkq5345qlqyc2iprxzsrwvavd6r5qwel3o3vxs5svg5mjyd(.)cebola pic.twitter.com/HVsrjGrL9x

– Dark Web Informer (@DarkWebInformer) 2 de setembro de 2026

Pouco depois de Krebs publicar seu relatório, o próprio site Nexus desapareceu da dark web e foi substituído por uma mensagem informando que o serviço não estava mais disponível.

Peter Van Valkenburgh, um antigo defensor da política de criptomoeda e diretor executivo do Coin Center, argumentou em um ensaio⁠ que a violação não foi um acidente bizarro e único. Ele chamou o hack de “inevitável” e disse que a sociedade “está muito, muito, muito atrasada para reduzir a quantidade de KYC que fazemos”.

O argumento de Van Valkenburgh é fundamentalmente sobre a minimização de dados. Cada vez que uma empresa exige a digitalização de uma identificação governamental, ela cria outro repositório contendo informações que podem ser potencialmente roubadas, revendidas ou abusadas.

“Encarregamos um mar de empreiteiros quase governamentais para realizar a recolha e monitorização de dados”, escreveu Van Valkenburgh, argumentando que as bases de dados resultantes tornam-se alvos atraentes precisamente porque contêm muita informação valiosa num só lugar.

O problema fica ainda mais difícil de ignorar à medida que governos e empresas empurram a verificação de identidade para mais partes da vida quotidiana. Verificação de idade, conformidade financeira, check-ins em hotéis, aluguel de carros, jogos de azar, vendas de cannabis e serviços on-line podem exigir alguma forma de verificação de identidade.

O pesquisador de segurança e privacidade Zach Edwards, cuja carteira de motorista foi encontrada no banco de dados Nexus, disse a Krebs que o incidente destaca os riscos de terceirizar a verificação de identidade para uma rede em expansão de fornecedores terceirizados. “Esses sistemas estão colocando dados confidenciais em cada vez mais fornecedores terceirizados, e não temos a supervisão necessária para garantir que eles estejam seguros”, disse Edwards.

Na verdade, os próprios sistemas que foram construídos são uma contradição em si. Embora existam processos cada vez mais sofisticados implementados para determinar se alguém é realmente quem afirma ser, esses sistemas muitas vezes exigem a recolha de informações suficientes para criar uma situação devastadora se a segurança em torno da base de dados associada falhar.

E esta não é a primeira vez que a escala do problema se torna absurda. Em 2025, a empresa de software educativo PowerSchool foi violada num ataque que expôs informações sensíveis pertencentes a dezenas de milhões de estudantes e professores, incluindo números de Segurança Social, datas de nascimento e informações médicas. Em 2024, a AT&T também divulgou que hackers obtiveram números de Seguro Social, datas de nascimento, números de telefone, endereços de e-mail e outras informações de 73 milhões de clientes atuais e antigos. Um incidente separado expôs registros telefônicos pertencentes a quase todos os clientes da empresa.

Estão disponíveis soluções técnicas para este problema subjacente de criação de potes de mel com dados confidenciais de clientes. Por exemplo, as provas de conhecimento zero podem permitir que alguém prove que satisfaz uma condição específica sem revelar todas as informações contidas na credencial subjacente. Em vez de entregar uma carteira de motorista completa para comprovar que você tem mais de 21 anos, um sistema poderia, teoricamente, verificar o fato relevante sem receber seu nome, endereço, número da carteira e outras informações impressas no cartão.

153 milhões de carteiras de motorista vazaram!
Os documentos de identidade só devem ser autenticados por meio de provas de conhecimento zero. Pare de revelar todos os seus dados pessoais apenas para provar que você tem uma carteira de motorista válida.https://t.co/ebdV54Zk78

-Remco (@recmo) 2 de setembro de 2026

Embora estas tecnologias não tornem magicamente a verificação de identidade segura em todos os cenários, oferecem uma forma de redesenhar o sistema para que a verificação da identidade de alguém não crie outros problemas de segunda ordem.

É claro que há também uma realidade menos conveniente por trás de tudo isto, na medida em que parte da recolha de dados não é simplesmente uma questão de as empresas decidirem que querem mais informações. As leis e regulamentos podem exigir que as empresas recolham, verifiquem ou retenham informações de identificação em determinadas circunstâncias. Por outras palavras, são necessárias alterações aos regulamentos relativos à recolha de dados pessoais, além da adoção de diversas inovações técnicas.

Resta saber se estas alterações técnicas ou regulamentares serão implementadas em breve. “Os departamentos de conformidade avessos ao risco e os reguladores estabelecidos preferem práticas antigas e a aparência de conformidade rigorosa – verificação de caixas – a proteger realmente as pessoas através da minimização de dados e de alternativas auditáveis ​​e verificáveis”, escreveu Van Valkenburgh.