✨︎ Resumen (TL;DR):
- El FBI abrió en Nueva Orleans una investigación sobre un posible incidente ligado a IDScan.net después de que Nexus ofreciera documentos de identidad.
- El servicio afirmó tener más de 153 millones de licencias de conducir de Estados Unidos y Canadá, además de otros documentos sensibles.
- Los archivos revisados incluían frente, reverso y capturas infrarrojas y ultravioletas; el origen y el alcance siguen sin confirmarse.
El FBI abrió una investigación en Nueva Orleans sobre un posible incidente relacionado con IDScan.net, después de que el servicio clandestino Nexus anunciara la venta de más de 153 millones de escaneos de licencias de conducir de Estados Unidos y Canadá. La cifra no está confirmada oficialmente, pero Brian Krebs encontró su propia licencia y verificó, con permiso, las de otras nueve personas. Los archivos incluían imágenes del frente y reverso, versiones infrarrojas y ultravioletas, y fechas que coincidían con viajes o alquileres de autos. IDScan.net dijo que investiga si hubo acceso no autorizado y qué información pudo quedar expuesta.
Nexus alegó una base enorme, sin auditoría pública
El servicio apareció el 31 de agosto en un foro de ciberdelincuencia en ruso. Su operador ofreció documentos de identidad de más de 170 millones de personas en Norteamérica y aseguró que la base contenía más de 153 millones de licencias de conducir de Estados Unidos y Canadá.
El anuncio también incluía más de 10 millones de tarjetas de identificación, más de 3 millones de documentos de viaje o identificaciones internacionales y al menos 579,000 tarjetas médicas.
Los números provenían de lo que mostraba Nexus y su autenticidad todavía no tenía una auditoría pública. Aun así, KrebsOnSecurity encontró indicios de que el anuncio no era una invención completa: una búsqueda sin filtros devolvía aproximadamente 11.5 millones de páginas, con cerca de 15 resultados por página.
Una consulta limitada a licencias canadienses mostraba alrededor de 1.1 millones de registros, incluidos 473,673 de Ontario. Esas cifras no equivalen automáticamente a 153 millones de personas únicas. Una misma persona podía aparecer varias veces y una licencia podía estar acompañada por distintos archivos de imagen.
El vendedor también sostuvo que llevaba más de un año obteniendo información nueva. El operador de Nexus escribió:
“Hemos estado extrayendo continuamente datos nuevos durante más de un año en nuestra base de datos privada”, escribió el operador, según KrebsOnSecurity.
Según Krebs, la base creció en casi 400,000 licencias en 24 horas. Ese cambio sugería que el origen de los archivos seguía activo cuando Nexus salió a la luz.
Las imágenes y las fechas apuntan a IDScan.net
En el registro del propio Brian Krebs aparecieron tres pares de imágenes del frente y reverso, un escaneo básico y versiones capturadas con luz infrarroja y ultravioleta. Los nombres de los archivos incluían fechas y horas.
Krebs pidió permiso a amigos y familiares para buscar sus documentos. Encontró las licencias de nueve personas y todas confirmaron que habían viajado en las fechas de las marcas de tiempo o muy cerca de ellas. En varios casos, la búsqueda mostró conexiones con alquileres de vehículos de Hertz.
Zach Edwards, investigador de privacidad, también encontró su licencia. Dijo que la había entregado en distintos lugares durante un viaje a Las Vegas, incluido el dispensario Planet 13.
Planet 13 anunció en 2022 que usaba soluciones de IDScan.net para leer identificaciones físicas y digitales en sus establecimientos. IDScan.net es una empresa de verificación de identidad con sede en Nueva Orleans y también ha mencionado relaciones con compañías de alquiler de autos, tiendas, empresas de logística, casinos y servicios financieros.
La verificación de identidad es un servicio que lee y analiza identificaciones físicas o digitales. IDScan.net describe herramientas capaces de procesar licencias con luz infrarroja y ultravioleta, justo las modalidades que aparecen en algunos registros de Nexus.
Esta coincidencia no prueba por sí sola que todos los registros provinieran de IDScan.net ni que los clientes mencionados estén afectados. La combinación del tipo de archivo, las fechas y los testimonios hizo que la investigación se concentrara en el proveedor, pero el origen definitivo sigue pendiente.
El FBI investiga el origen, no el alcance
Brian Krebs informó que lo incluyeron en una llamada con varios agentes del FBI, entre ellos responsables de la división cibernética. La oficina de campo de Nueva Orleans abrió una investigación oficial sobre un incidente aparente relacionado con IDScan.net.
Los reportes consultados no citan un comunicado público del FBI que confirme cuántos documentos quedaron comprometidos ni cómo los obtuvo el servicio. IDScan.net respondió a Krebs que investigaba la información recibida, pero no ofreció una explicación sustantiva.
Reportes posteriores reprodujeron una notificación que la empresa envió a sus clientes. IDScan.net dijo que todavía intentaba determinar si hubo acceso no autorizado y qué información pudo quedar expuesta. La compañía no ha confirmado públicamente una brecha ni su alcance.
Poco después del reporte, Nexus dejó de estar disponible y mostró un mensaje que decía que el servicio ya no existía. El cierre eliminó la oferta visible, pero no demuestra que los datos hayan sido eliminados ni permite saber si terceros copiaron los archivos o si la información circula por otros canales.
Krebs también reportó que un registro asociado con Pete Hegseth, secretario de Defensa de Estados Unidos, aparecía en la base. El hallazgo elevó la preocupación por la exposición de funcionarios, agentes y otras personas cuya ubicación o identidad puede tener consecuencias de seguridad.
Por qué una licencia expuesta sigue siendo útil para el fraude
Una licencia de conducir concentra nombre, fecha de nacimiento, domicilio y fotografía, junto con otros datos que suelen utilizarse para comprobar identidad. Las copias del frente y reverso, más las versiones infrarrojas y ultravioletas, pueden ofrecer a un delincuente material adicional para intentar crear cuentas falsas, reforzar campañas de phishing o superar controles de identidad débiles.
Larry Baldwin, investigador principal de inteligencia de la firma de ciberseguridad Cybera, advirtió a Krebs que el problema no se limita a créditos o cuentas bancarias. Las imágenes también pueden exponer a personas que necesitan ocultar su ubicación, como sobrevivientes de violencia doméstica o individuos incorporados a programas de protección de testigos.
Cambiar una contraseña es relativamente sencillo. Una persona puede renovar una licencia, pero no puede retirar automáticamente las copias ya obtenidas ni cambiar con facilidad su rostro, fecha de nacimiento o historial de identificación.
La pregunta central para las posibles víctimas no es únicamente cuántos registros almacenaba Nexus. También falta saber cuántos eran auténticos y dónde terminaron después de que el servicio desapareció.
Qué pueden hacer los residentes de Estados Unidos
Los reportes disponibles no describen un comprobador público y confiable para saber si una licencia concreta apareció en Nexus. Nadie debería enviar fotografías de sus documentos a páginas que prometan revisar la lista, porque podría entregar una copia adicional a otro desconocido.
Para quienes viven en Estados Unidos, la Comisión Federal de Comercio (FTC) explica que el congelamiento de crédito es gratuito, no afecta el puntaje crediticio y puede solicitarse en cualquier momento. La persona debe tramitarlo con las tres principales agencias de crédito. La medida dificulta que alguien abra nuevas cuentas a su nombre.
También conviene revisar los reportes y los movimientos financieros, además de desconfiar de mensajes que pidan datos adicionales con el pretexto de una supuesta notificación del FBI o de IDScan.net.
El cierre de Nexus detuvo la venta visible, pero no resolvió la pregunta que importa a los posibles afectados: si terceros copiaron sus identificaciones, durante cuánto tiempo y qué entidades conservaron los archivos. La investigación del FBI en Nueva Orleans y la revisión de IDScan.net tendrán que establecerlo.
