En la gran filtración de datos que, según se informa, está siendo investigada por el FBI, se descubrió que, pocas horas después de alquilar un vehículo, mi permiso de conducir había sido puesto a la venta en un servicio de robo de identidad llamado Nexus. Según KrebsOnSecurity, Nexus contenía más de 153 millones de permisos de conducir. Los archivos enumerados incluían imágenes del anverso y el reverso de las identificaciones, así como imágenes infrarrojas y ultravioletas; se indicó que estos registros podrían facilitar que las identificaciones falsas superaran los controles de hologramas.
Nexus también afirmó ofrecer permisos de conducir comerciales, tarjetas de identificación gubernamentales identificadas como CAC y tarjetas de dispensarios de marihuana. El hecho de que los nuevos registros aparecieran generalmente un día, o incluso pocas horas, después de que las personas mostraran sus identificaciones en las empresas de alquiler apunta a que los datos se transferían casi en tiempo real desde servicios de escaneo de terceros utilizados por las empresas. En 24 horas, el número de permisos de conducir incluidos aumentó en aproximadamente 400.000.
Según la información disponible públicamente, IDScan.net, con sede en Nueva Orleans, tiene un acuerdo exclusivo con Planet13 y también incluye a Hertz y otras 11 empresas entre sus clientes. La compañía anunció que había iniciado una investigación. Nexus dejó de estar accesible horas después de la noticia de KrebsOnSecurity, por lo que ya no es posible que las personas comprueben si sus identificaciones aparecen en la lista.
Por qué es importante
El incidente demuestra que los servicios de escaneo de terceros utilizados en los procesos de verificación de identidad no solo facilitan las operaciones, sino que también constituyen una infraestructura en la que se recopilan grandes cantidades de datos sensibles. La presencia de imágenes del anverso y el reverso, así como de imágenes infrarrojas y ultravioletas, plantea para las personas afectadas no solo el riesgo de exposición de información personal, sino también el de falsificación de documentos de identidad. El hecho de que los datos aparecieran en la lista poco después de las operaciones de alquiler exige que la investigación se centre en la etapa del flujo de datos en la que esto ocurrió y en los controles de acceso de los proveedores de servicios. La inaccesibilidad de Nexus, por su parte, impide que las personas comprueben sus registros y deja sin respuesta la pregunta de qué personas e instituciones se han visto realmente afectadas.