FBI investiga possível vazamento de 150 milhões de documentos nos EUA e Canadá

Um possível ataque contra a IDScan, empresa especializada em verificação de identidade, pode ter resultado no roubo de mais de 150 milhões de carteiras de motorista e passaportes de pessoas nos Estados Unidos e Canadá. A companhia investiga o incidente, assim como o FBI, mas ainda não confirmou publicamente que seus sistemas tenham sido comprometidos.

O caso veio à tona após uma investigação do jornalista de segurança Brian Krebs sobre o Nexus, serviço de roubo de identidade que apareceu na dark web oferecendo uma ferramenta de busca em uma base com mais de 150 milhões de documentos.

Segundo a divulgação do Nexus em um conhecido fórum russo de cibercrime, cerca de 500 mil novos documentos estariam sendo adicionados diariamente à plataforma. Os operadores alegaram que os dados eram provenientes de uma "grande empresa de verificação de identidade". Se a afirmação for verdadeira, o ritmo de atualização poderia indicar que os responsáveis mantinham acesso praticamente em tempo real aos sistemas da organização afetada.

A base não conteria apenas informações presentes nos documentos. O serviço também anunciava fotografias dos clientes quando disponíveis, ampliando os riscos de roubo de identidade e outros tipos de fraude.

Krebs encontrou sua própria carteira de motorista entre os registros pesquisáveis, confirmando a autenticidade de pelo menos parte das informações. O pesquisador de segurança Zach Edwards também teve seu documento localizado. Entre os registros estava ainda o secretário de Defesa dos Estados Unidos, Pete Hegseth. O Departamento de Defesa informou estar ciente dos relatos e avaliando a situação.

Ao investigar a possível origem dos documentos, Krebs e Edwards identificaram a IDScan como provável fonte. A empresa, sediada no estado da Louisiana, fornece serviços para validação de documentos governamentais e é utilizada por grandes marcas de tecnologia e consumo para verificar dezenas de milhões de identidades mensalmente em diferentes países.

A diretora de operações da IDScan, Jillian Kossman, informou a Krebs que a companhia estava investigando o incidente. O FBI também confirmou à TechCrunch que analisa o caso, sem fornecer detalhes adicionais. Pouco depois da publicação da investigação de Krebs, o Nexus saiu do ar.

O possível comprometimento ganha relevância pela natureza dos dados envolvidos. Passaportes e carteiras de motorista concentram informações pessoais que podem ser utilizadas em esquemas de roubo de identidade, falsificação de cadastros e diferentes modalidades de fraude.

O incidente também ocorre enquanto governos ampliam leis de verificação de idade para serviços online. Algumas dessas iniciativas exigem que usuários enviem documentos de identidade para comprovar sua idade, aumentando a quantidade de dados altamente sensíveis processados e potencialmente armazenados por empresas especializadas em verificação. Especialistas em segurança e privacidade vêm alertando para os riscos da retenção de grandes volumes desse tipo de informação.

Caso a origem e a quantidade anunciadas sejam confirmadas, o episódio poderá representar uma das maiores violações individuais de documentos de identidade registradas nos últimos anos. Por enquanto, porém, a associação dos dados à IDScan permanece como resultado da investigação conduzida por Krebs e Edwards, e não como uma confirmação pública da companhia.