Parece mesmo que hackers invadiram um importante serviço de verificação de documentos de identidade

Se você entregou sua carteira de motorista, passaporte ou outro tipo de documento de identidade para verificar suas informações no mundo real, como em um bar, em uma loja de cannabis ou ao reservar um carro alugado, há uma grande chance de que esses dados tenham sido roubados em uma suposta violação massiva de dados.

Isso é o que aponta um relatório impressionante do jornalista independente de segurança Brian Krebs, que afirma que uma empresa usada para verificar documentos de identidade emitidos pelo governo no mundo real foi provavelmente hackeada e seus vastos estoques de documentos de identidade de pessoas foram exfiltrados.

Krebs relata que um site de roubo de identidade chamado Nexus, lançado na dark web esta semana, alegou permitir que os usuários pesquisassem mais de 150 milhões de carteiras de motorista e passaportes pertencentes a pessoas que vivem nos Estados Unidos e no Canadá. Uma postagem anunciando o site em um fórum russo de cibercrime conhecido afirmou que o Nexus adicionava cerca de meio milhão de novos documentos diariamente, obtidos de uma “grande empresa de verificação de identidade”, sugerindo que os hackers tinham acesso quase em tempo real aos sistemas da empresa de verificação de identidade.

O anúncio afirma que “as fotos dos clientes são exibidas, se disponíveis”. Krebs descobriu que sua própria carteira de motorista estava entre os registros pesquisáveis no banco de dados, confirmando que os dados eram autênticos. O secretário de Defesa Pete Hegseth também estava entre as pessoas cujas fotos foram listadas no site de busca de identidades.

Um porta-voz do Departamento de Defesa disse ao TechCrunch que está “ciente desses relatórios e os está avaliando”.

Trabalhando com o pesquisador de segurança Zach Edwards, cuja carteira de identidade também foi roubada na violação, Krebs identificou como provável fonte o serviço de verificação de identidade IDScan. A empresa sediada na Luisiana é utilizada por grandes marcas de tecnologia e de consumo para verificar as identidades de dezenas de milhões de pessoas em todo o mundo a cada mês.

O diretor-executivo da IDScan, Jimmy Roussel, não respondeu ao pedido de comentário do TechCrunch, mas a diretora de operações da empresa, Jillian Kossman, disse a Krebs que a empresa estava investigando. Krebs afirmou que o escritório de campo do FBI em Nova Orleans também está investigando a violação. Um porta-voz do FBI não respondeu ao questionamento do TechCrunch sobre o vazamento.

O Nexus saiu do ar pouco depois da publicação da reportagem de Krebs.

Esta violação de dados ocorre no momento em que os governos estão implementando cada vez mais leis de verificação de idade, que dependem em grande parte da exigência de que adultos façam o upload de seus documentos de identidade para comprovar que têm idade suficiente para acessar um site ou aplicativo. Especialistas em segurança e defensores da privacidade há muito tempo alertam que as empresas que armazenam vastas quantidades de documentos de identidade de pessoas por longos períodos colocam esses dados em risco de roubo por hackers.

A julgar por todas as informações, esta seria a maior violação única conhecida de documentos de identidade em muito tempo.