IDScan confirma filtración de más de 150 millones de licencias de conducir
La empresa de verificación de identidad revela que hackers robaron nombres completos, números de licencia y datos de pasaportes desde su nube, afectando a clientes de EE. UU. y Canadá.
IDScan, el proveedor de servicios de verificación de documentos usado por locales de entretenimiento, dispensarios de cannabis y otras empresas, confirmó este viernes que una brecha de seguridad comprometió más de 150 millones de licencias de conducir. La compañía indicó en un aviso en su web que los atacantes accedieron a su infraestructura en la nube y sustrajeron nombres completos, números de licencia y, en algunos casos, identificadores de pasaportes.
El incidente se dio a conocer después de que el periodista de seguridad Brian Krebs publicara, el 1 de septiembre, que había encontrado en la dark web una base de datos que permitía buscar la información de más de 150 millones de personas de EE. UU. y Canadá, inclusive fotos de los documentos. Krebs verificó la autenticidad del conjunto usando su propio registro. Entre los registros expuestos se encontraban figuras públicas como el secretario de Defensa de EE. UU., Pete Hegseth, y un investigador de seguridad que confirmó la validez de sus datos.
IDScan recibió la alerta alrededor del 1 de septiembre, fecha en la que Krebs informó del hallazgo. La empresa había comunicado previamente que estaba investigando un incidente, pero sin confirmar una intrusión. En el aviso actualizado, IDScan afirma que, aunque el acceso completo a la información requeriría el pago de un rescate, está notificando a los potenciales afectados a través de su sitio.
El Pentágono confirmó que está al tanto del supuesto robo y el FBI ha abierto una investigación paralela. Hasta el momento, IDScan no ha indicado cuántas personas fueron realmente comprometidas, aunque reconoce que su base de datos contiene más de 150 millones de licencias de conducir.
Para los equipos de seguridad y los responsables de cumplimiento, la filtración plantea varios retos: la necesidad de revisar los contratos con proveedores de verificación de identidad, reforzar la monitorización de accesos a datos en la nube y preparar respuestas de notificación bajo normas como GDPR o CCPA. Además, la aparición de la base de datos en la dark web sugiere que los atacantes pueden estar dispuestos a vender acceso a la información completa, lo que implica un riesgo de fraude de identidad a gran escala.
Queda por ver si los hackers exigirán un rescate para entregar el conjunto completo y cómo responderán las autoridades a la posible venta de datos personales a terceros. Mientras tanto, las organizaciones que dependen de IDScan deberán evaluar el impacto en sus procesos de verificación y considerar alternativas o medidas de mitigación adicionales.
