Por Canuto  

El FBI investiga una oferta temporal en un foro ruso de ciberdelincuencia que habría reunido 153 millones de licencias de conducir de EE. UU. y Canadá, además de millones de otros documentos de identidad. Las evidencias apuntan a un proveedor de autenticación utilizado por Hertz y Planet13, mientras expertos advierten sobre los riesgos para el robo de identidad y la privacidad.
***

  • El servicio Nexus afirmó tener 153 millones de licencias de conducir y millones de documentos adicionales.
  • Las marcas de tiempo vincularían parte de los archivos con identificaciones usadas en Hertz y Planet13, empresas que recurren a IDScan.
  • El FBI investiga el caso, mientras crecen las alertas por robo de identidad y exposición de personas vulnerables.

El FBI investiga la presunta filtración de 153 millones de licencias de conducir de Estados Unidos y Canadá, junto con otros documentos de identidad, que estuvieron disponibles durante un periodo limitado en un foro ruso de ciberdelincuencia. El material se promocionó en la dark web bajo el nombre Nexus y habría sido ofrecido para su compra, aunque el servicio ya no estaba disponible al momento de conocerse el caso.

La investigación cobró relevancia porque entre los registros que pudieron ser vistos figuraba una vista previa de la licencia de conducir de Pete Hegseth, secretario de Guerra de Estados Unidos. La exposición de información asociada con un funcionario que ocupa un cargo tan sensible elevó la preocupación sobre el alcance de la brecha, aunque la presencia de un documento en la base de datos no demuestra por sí misma cómo se utilizó ni quién accedió a él.

Una base de datos con millones de documentos

El periodista especializado en ciberseguridad Brian Krebs identificó el servicio Nexus después de que el operador del anuncio publicara su licencia de conducir como muestra gratuita. La oferta afirmaba contener 153 millones de licencias de conducir, 10 millones de tarjetas de identificación, 1,9 millones de documentos de viaje y 1,3 millones de licencias de conducir internacionales, según los datos examinados durante la investigación.

El inventario anunciado también incluía 579.000 tarjetas médicas, 429.000 tarjetas de acceso común, 91.000 tarjetas de residencia, 77.000 registros de autorización de trabajo y otros 5 millones de documentos. La amplitud de esas categorías sugiere que el incidente no se limitaría a un tipo de identificación, sino que podría abarcar distintos procesos comerciales en los que las empresas solicitan documentos para confirmar la identidad de sus clientes.

Krebs comprobó la aparente autenticidad de una parte de los datos al buscar, con autorización, los registros de varios amigos y familiares. La revisión encontró coincidencias que resultaban difíciles de explicar como simples documentos falsificados, y mostró que las imágenes escaneadas podían incluir elementos de seguridad fotográficos, ultravioletas e infrarrojos presentes en muchas licencias.

El investigador de seguridad y privacidad Zach Edwards también dijo que su información aparecía en Nexus, pese a que no había alquilado un automóvil recientemente. Edwards explicó que había utilizado su identificación en la dispensaria de marihuana Planet13, una pista que ayudó a ampliar la investigación más allá de las empresas de alquiler de vehículos y a buscar un posible punto común en sus procesos de verificación.

Las pistas apuntan a un proveedor externo

Una coincidencia apareció en los registros de las personas consultadas: todas habían utilizado Hertz para alquilar un vehículo. Las marcas de tiempo visibles en las imágenes de las licencias y de otros documentos coincidían con el momento en que los afectados habían presentado sus identificaciones ante determinadas empresas, un detalle que reforzó la hipótesis de que los archivos procedían de procesos reales de autenticación.

Hertz y Planet13, sin embargo, no realizan directamente toda la verificación de identidad, sino que contratan a un proveedor especializado. La investigación relacionó a ambas compañías con IDScan, una empresa de verificación y autenticación de documentos de identidad, por lo que las evidencias reunidas sitúan el posible foco de la filtración en ese proveedor y no necesariamente en los sistemas internos de cada cliente.

La conexión todavía constituye una hipótesis de investigación y no una conclusión judicial sobre la responsabilidad de IDScan. La existencia de archivos vinculados con servicios que utilizan la plataforma, así como la coincidencia temporal de los escaneos, puede orientar el rastreo técnico, pero aún deben determinarse el método de acceso, el periodo de exposición y la cantidad exacta de personas afectadas.

IDScan fue contactada sobre el caso y respondió que estaba investigando el asunto. Jillian Kossman, líder de marketing y operaciones de idscan.net, declaró: “En este momento no puedo compartir información adicional, pero las actualizaciones que ha proporcionado han sido bien recibidas y útiles para la investigación de nuestro equipo”.

Riesgos para identidad y privacidad

La oficina de campo del FBI en Nueva Orleans investiga la filtración, de acuerdo con reportes sobre el caso. La intervención federal refleja la posible dimensión transfronteriza del incidente, ya que los documentos atribuidos a la base de datos corresponden tanto a Estados Unidos como a Canadá, mientras el material apareció en un foro ruso de ciberdelincuencia.

Una licencia de conducir no es únicamente un documento para conducir: también funciona como comprobante de identidad en trámites financieros y comerciales. En Estados Unidos, estos documentos pueden aceptarse para abrir líneas de crédito y cuentas bancarias, de modo que una copia de alta calidad podría facilitar intentos de suplantación, fraude documental o creación de perfiles falsos.

El riesgo aumenta cuando los archivos incluyen más que una fotografía frontal, porque los escaneos pueden conservar información visual y elementos de seguridad utilizados por sistemas automatizados. Aun así, la filtración no significa automáticamente que cada documento pueda utilizarse con éxito para cometer fraude, ya que las instituciones aplican controles adicionales; sí eleva, en cambio, la superficie de ataque y la necesidad de vigilar actividades financieras inesperadas.

El impacto potencial también alcanza a personas cuya ubicación o identidad requiere protección especial, como quienes huyen de la violencia doméstica o quienes forman parte de programas de protección de testigos. La exposición de sus documentos puede revelar datos sensibles y facilitar la correlación de información personal, incluso cuando los afectados no hayan sufrido todavía una pérdida económica directa.

El debate sobre la verificación digital

El caso se suma a las preocupaciones de expertos en privacidad sobre la expansión de los controles de identidad y de edad en internet. Cuando más servicios exigen cargar una licencia, un pasaporte u otra identificación, crece también la cantidad de intermediarios que almacenan documentos capaces de vincular a una persona con una actividad, una empresa o un momento específico.

Un incidente anterior afectó a Discord después de que un proveedor externo de servicios fuera atacado, con la exposición de 70.000 identificaciones gubernamentales. La comparación no prueba que ambos casos tengan la misma causa, pero ilustra una debilidad recurrente: una empresa puede proteger sus servidores principales y, aun así, quedar expuesta por un tercero que procesa información crítica.

La Electronic Frontier Foundation ha cuestionado los requisitos invasivos de verificación de edad y pidió al gobernador de California vetar una ley que los exige. Su preocupación combina la privacidad con los derechos de la Primera Enmienda, porque la recopilación obligatoria de documentos puede crear registros sensibles sobre las actividades de los usuarios y aumentar las consecuencias de una eventual brecha.

Para los usuarios, el episodio refuerza la importancia de revisar movimientos bancarios y solicitudes de crédito no reconocidas, aunque la información disponible no establece un protocolo específico para las posibles víctimas. Para las empresas, la investigación plantea una pregunta más amplia sobre la selección, supervisión y retención de datos por parte de los proveedores de autenticación, especialmente cuando un solo sistema concentra documentos de millones de personas.

El servicio Nexus ya no estaba accesible cuando se reportó el caso, por lo que tampoco está claro cuánto tiempo permaneció disponible ni cuántas personas pudieron adquirir los registros. Mientras el FBI y la empresa investigan, la prioridad será establecer el origen de los datos, confirmar su autenticidad, identificar el alcance geográfico y determinar si hubo accesos o usos posteriores a la publicación.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados