Fontes externas citaram o jornalista de segurança independente Brian Krebs, relatando que um serviço usado para verificar documentos de identidade emitidos pelo governo pode ter sido invadido por hackers, com grandes quantidades de imagens de carteiras de motorista e passaportes possivelmente roubadas. Se verdadeiro, este será um dos maiores vazamentos individuais de documentos de identidade conhecidos nos últimos anos.
Sites da dark web afirmam possuir grandes quantidades de documentos
A report menciona que, esta semana, um site de roubo de identidade chamado Nexus apareceu na deep web. O site afirma poder recuperar mais de 150 milhões de registros de carteiras de motorista e passaportes de residentes dos Estados Unidos e do Canadá.
Um anúncio publicado em um fórum russo de crimes cibernéticos afirma que esses dados vêm de “uma grande empresa de autenticação” e que cerca de 500 mil novos arquivos são adicionados diariamente. Essa afirmação sugere que os atacantes podem ter tido acesso quase em tempo real aos sistemas da empresa relacionada.
A fonte suspeita aponta para IDScan
Após comparar as amostras vazadas, Krebs e o pesquisador de segurança Zach Edwards suspeitam que a empresa louisianana IDScan seja a fonte dos dados. A empresa fornece serviços de verificação de documentos de identidade para diversas marcas de tecnologia e consumo, processando milhões de solicitações de verificação de documentos de usuários globais por mês.
A TechCrunch informou que Jimmy Roussel, CEO da IDScan, não respondeu aos pedidos de comentário. A diretora de operações da empresa, Jillain Kossman, disse ao Krebs que a empresa está investigando o caso.
O FBI já entrou na investigação
O relatório também afirmou que o escritório regional da FBI em Nova Orleans participou da investigação. A FBI não respondeu ao pedido de comentário da TechCrunch. O porta-voz do Departamento de Defesa dos EUA também não comentou imediatamente sobre as reportagens.
Este evento ocorre enquanto governos de várias regiões impulsionam regulamentações de verificação de idade, exigindo que adultos carreguem documentos de identidade para provar sua elegibilidade para acessar sites ou aplicativos específicos. Pesquisadores de segurança e defensores da privacidade alertaram há muito tempo que o armazenamento centralizado de grandes quantidades de documentos aumenta significativamente o risco de roubo. Pouco depois do relatório ser publicado, o Nexus foi desativado, mas a extensão real da divulgação dos dados vazados ainda é incerta.