Um dos maiores vazamentos de documentos de identidade já registrados colocou milhões de pessoas nos Estados Unidos e no Canadá em situação de risco. A IDScan, empresa especializada em verificação de identidade, confirmou que criminosos conseguiram acessar dados armazenados em sua plataforma na nuvem, depois que uma enorme coleção de documentos apareceu sendo comercializada na internet clandestina.
A dimensão do incidente chama atenção porque não se trata apenas de nomes, endereços de e-mail ou senhas. O material associado ao ataque inclui imagens de documentos oficiais, como carteiras de motorista, documentos de identidade e passaportes. Segundo informações divulgadas por pesquisadores e pelo jornalista de segurança Brian Krebs, um serviço criminoso chamado Nexus chegou a anunciar mais de 153 milhões de carteiras de motorista de pessoas dos Estados Unidos e do Canadá.
A IDScan confirmou posteriormente que houve acesso não autorizado a informações armazenadas em seu ambiente de nuvem. A empresa afirma que iniciou uma investigação e passou a colaborar com autoridades federais americanas.
O episódio preocupa especialistas porque documentos de identificação são muito mais difíceis de substituir do que senhas ou cartões bancários. Quando informações desse tipo caem nas mãos de criminosos, os efeitos podem continuar durante anos.
Como o vazamento foi descoberto
O caso começou a chamar atenção no fim de agosto, quando o jornalista especializado em segurança Brian Krebs foi informado sobre um novo serviço disponível em um fórum de crimes cibernéticos de língua russa.
O serviço, chamado Nexus, anunciava uma enorme quantidade de documentos de identificação e oferecia mecanismos para pesquisar informações de pessoas. Entre os arquivos disponíveis estavam mais de 153 milhões de carteiras de motorista, mais de 10 milhões de documentos de identidade, mais de 3 milhões de documentos de viagem e pelo menos 579 mil cartões médicos.
Para verificar se o material era verdadeiro, Krebs pesquisou seus próprios dados na plataforma. A carteira de motorista do jornalista apareceu entre os documentos disponíveis. Outras pessoas também confirmaram que imagens legítimas de seus documentos estavam presentes na base.
A descoberta levou pesquisadores a relacionarem o conjunto de dados à IDScan, empresa sediada na Louisiana e especializada em tecnologias de verificação de identidade.
O FBI confirmou posteriormente que estava investigando o caso. Na época, porém, a agência ainda não havia confirmado publicamente que a IDScan era a origem dos dados.
IDScan confirma invasão
A confirmação oficial veio depois.
Em um comunicado publicado em seu site, a IDScan informou que recebeu, por volta de 1º de setembro, informações indicando que terceiros não autorizados poderiam ter acessado ou copiado dados armazenados em sua plataforma de nuvem.
A empresa afirmou que tomou medidas para proteger seus sistemas e contratou especialistas externos para investigar a extensão do incidente. O comunicado também confirmou que os dados potencialmente envolvidos incluem nomes completos e números de carteiras de motorista ou de outros documentos oficiais de identificação.
A confirmação é significativa porque, até então, a existência de uma enorme base de documentos associada à empresa era conhecida principalmente por meio das investigações independentes.
A TechCrunch informou que a IDScan não havia respondido aos questionamentos sobre detalhes importantes do ataque, incluindo se os criminosos haviam feito algum pedido de resgate para não divulgar ou vender as informações.
O que pode ter sido exposto
O principal risco está nas imagens dos documentos.
Carteiras de motorista e outros documentos oficiais normalmente concentram uma quantidade considerável de informações pessoais. Dependendo do documento e da jurisdição, podem aparecer nome completo, fotografia, endereço, número de identificação, data de nascimento e outras informações utilizadas para confirmar a identidade de uma pessoa.
No caso investigado por Krebs, havia ainda imagens dos dois lados das carteiras de motorista. Isso torna o material especialmente valioso para criminosos que trabalham com fraude de identidade.
O problema também é diferente de um vazamento convencional de senha.
Uma senha pode ser alterada imediatamente após uma invasão. Um cartão bancário pode ser cancelado e substituído. Já documentos oficiais possuem números e informações que podem permanecer vinculados à mesma pessoa durante muito tempo.
Por isso, mesmo que os criminosos não utilizem os documentos imediatamente, os dados podem continuar sendo explorados em diferentes golpes no futuro.
Dados podem alimentar golpes mais sofisticados
Uma carteira de motorista vazada pode ser utilizada como matéria-prima para diferentes tipos de fraude.
Criminosos podem tentar abrir contas, solicitar serviços, aplicar golpes de engenharia social ou criar documentos falsificados usando informações reais. As imagens também podem ser utilizadas para convencer empresas de que o criminoso é realmente quem afirma ser.
Esse risco aumenta com o uso de sistemas digitais de verificação de identidade.
Muitas empresas utilizam fotografias de documentos e reconhecimento facial para confirmar clientes remotamente. Se um criminoso possui uma cópia de um documento legítimo, ele passa a ter informações que podem ajudar a contornar determinadas etapas de verificação.
Especialistas vêm alertando justamente para esse problema: sistemas de KYC, sigla em inglês para “conheça seu cliente”, dependem de grandes volumes de documentos pessoais. Quando uma dessas bases é comprometida, o impacto pode ultrapassar em muito a empresa originalmente atacada.
IDScan atende empresas de diversos setores
A IDScan não é uma empresa voltada diretamente ao consumidor final. Ela fornece tecnologia para outras organizações realizarem processos de identificação e verificação de idade.
A plataforma é utilizada por empresas de diferentes segmentos, incluindo locadoras de veículos, varejistas, estabelecimentos de entretenimento e negócios que precisam verificar documentos oficiais.
Essa característica ajuda a explicar a enorme quantidade de dados potencialmente envolvida no incidente.
Em vez de atacar individualmente centenas de empresas, um criminoso que consiga acesso à infraestrutura de um fornecedor centralizado pode encontrar uma quantidade muito maior de informações em um único ambiente.
É justamente esse tipo de concentração de dados que tornou o caso tão preocupante.
Mais de 150 milhões de documentos não significa necessariamente 150 milhões de vítimas
Embora o número de 153 milhões de carteiras de motorista tenha sido amplamente divulgado, existe uma diferença importante entre a quantidade de documentos anunciada pelos criminosos e a quantidade de pessoas efetivamente afetadas pelo incidente confirmado pela empresa.
A Nexus afirmava possuir esse volume de registros, mas a IDScan ainda não divulgou uma confirmação independente de que exatamente 153 milhões de documentos foram roubados de seus sistemas.
A própria empresa afirmou que a investigação continua para determinar a natureza e a extensão completa do incidente.
Essa distinção é importante porque dados publicados em fóruns criminosos podem conter duplicações, informações antigas ou arquivos obtidos de diferentes fontes.
Ainda assim, pesquisadores conseguiram verificar a autenticidade de documentos presentes na base, o que demonstra que o problema não era apenas uma falsa reivindicação de criminosos.
FBI investiga o caso
O governo dos Estados Unidos também entrou na investigação.
O FBI informou no início de setembro que estava analisando o caso depois que a existência da gigantesca base de documentos foi descoberta. Naquele momento, a agência não confirmou detalhes sobre a origem dos arquivos devido à investigação em andamento.
Posteriormente, a confirmação da IDScan de que houve acesso não autorizado aos dados reforçou a ligação entre a empresa e o material comercializado no submundo digital.
A participação do FBI demonstra a gravidade do incidente, especialmente devido à quantidade de documentos oficiais envolvidos e à possibilidade de utilização dos dados em crimes de identidade.
Empresa oferece proteção às pessoas afetadas
A IDScan informou que está notificando pessoas potencialmente afetadas e oferecendo serviços gratuitos de monitoramento de crédito e proteção contra roubo de identidade.
A empresa também afirma estar colaborando com as autoridades responsáveis pela investigação.
Para usuários que possam ter utilizado serviços de empresas clientes da IDScan, a recomendação é ficar atento a movimentações financeiras e comunicações suspeitas.
Golpistas podem utilizar informações reais para criar mensagens muito convincentes. Um criminoso que saiba o nome completo e outros dados pessoais da vítima pode se passar por banco, empresa de tecnologia, órgão público ou serviço utilizado anteriormente.
Por isso, mensagens que solicitem códigos de autenticação, senhas, pagamentos ou novas informações pessoais devem ser analisadas com cuidado.
Vazamento mostra o risco de concentrar documentos na nuvem
O caso da IDScan também levanta uma discussão maior sobre a segurança de empresas responsáveis por verificar identidades.
A digitalização desse processo trouxe praticidade para consumidores e empresas. Hoje, é possível abrir contas, alugar veículos, acessar serviços e confirmar a idade sem apresentar fisicamente um documento a um funcionário.
Por outro lado, essa conveniência cria enormes bancos de dados contendo informações extremamente sensíveis.
Quando uma empresa armazena milhões de documentos, ela se torna um alvo extremamente valioso para grupos criminosos.
O ataque contra a IDScan mostra que o risco não está apenas em bancos ou redes sociais. Empresas que parecem atuar nos bastidores da internet também podem concentrar informações capazes de causar danos significativos quando expostas.
Um alerta para empresas e consumidores
O vazamento da IDScan reforça que documentos de identidade precisam ser tratados como informações de alto risco.
Para as empresas, o episódio demonstra a importância de limitar a quantidade de dados armazenados, aplicar controles rigorosos de acesso, monitorar atividades suspeitas e avaliar continuamente a segurança de fornecedores e plataformas terceirizadas.
Para consumidores, o caso serve como um lembrete de que uma simples fotografia de um documento pode ter enorme valor para criminosos.
O cenário ainda está sendo investigado, e a extensão definitiva do incidente poderá mudar à medida que autoridades e especialistas analisem os dados. Porém, a confirmação de que informações armazenadas pela IDScan foram acessadas de forma não autorizada já coloca o episódio entre os casos mais graves de exposição de documentos de identidade registrados recentemente.
Mais do que o número impressionante de registros envolvidos, o que torna o caso particularmente preocupante é a natureza das informações. Diferentemente de uma senha vazada, uma carteira de motorista contém elementos da identidade física de uma pessoa — e muitos deles não podem simplesmente ser trocados quando um criminoso obtém uma cópia.
O incidente mostra, portanto, que proteger dados pessoais não significa apenas impedir o vazamento de senhas ou números de cartão. Em uma economia cada vez mais digital, a própria identidade se tornou um dos ativos mais valiosos para os criminosos.
