È emerso che, poche ore dopo aver noleggiato un’auto, la mia patente di guida era stata messa in vendita sul servizio di furto d’identità chiamato Nexus, nell’ambito di una grave violazione dei dati che sarebbe oggetto di un’indagine dell’FBI. Secondo KrebsOnSecurity, su Nexus erano presenti oltre 153 milioni di patenti. I file elencati comprendevano le immagini del fronte e del retro dei documenti, oltre a immagini a infrarossi e ultraviolette; è stato riferito che queste registrazioni avrebbero potuto facilitare il superamento dei controlli degli ologrammi da parte di documenti d’identità contraffatti.
Nexus sosteneva inoltre di offrire patenti commerciali, carte d’identità governative indicate come CAC e tessere di dispensari di marijuana. Il fatto che i nuovi record comparissero generalmente un giorno, o persino poche ore, dopo che le persone avevano mostrato i propri documenti d’identità presso le società di noleggio indica che i dati venivano trasferiti quasi in tempo reale dai servizi di scansione di terze parti utilizzati dalle aziende. Nel giro di 24 ore, il numero di patenti elencate è aumentato di circa 400.000.
Secondo le informazioni disponibili al pubblico, IDScan.net, con sede a New Orleans, ha un accordo esclusivo con Planet13 e indica Hertz e 11 società tra i propri clienti. L’azienda ha dichiarato di aver avviato un’indagine. Nexus è diventato inaccessibile poche ore dopo la notizia di KrebsOnSecurity; di conseguenza, le persone non possono verificare se i propri documenti d’identità siano presenti nell’elenco.
Perché è importante
L’episodio dimostra che i servizi di scansione di terze parti utilizzati nei processi di verifica dell’identità non si limitano a facilitare le procedure, ma costituiscono anche un’infrastruttura in cui viene raccolta una grande quantità di dati sensibili. La presenza, oltre alle immagini del fronte e del retro, anche di immagini a infrarossi e ultraviolette fa emergere, per le persone coinvolte, non solo il rischio di esposizione dei dati personali, ma anche quello della falsificazione dei documenti d’identità. Il fatto che i dati siano stati elencati poco dopo le operazioni di noleggio richiede che l’indagine si concentri sulla fase del flusso di dati in cui ciò si è verificato e sui controlli degli accessi da parte dei fornitori di servizi. L’impossibilità di accedere a Nexus impedisce inoltre alle persone di verificare i propri dati, lasciando aperta la questione di quali persone e quali organizzazioni siano state realmente coinvolte.