IDScan confirma la brecha de 153 millones de escaneos de permisos de conducir
La empresa de verificación de identidad reconoce el acceso no autorizado a cuentas de su nube días después de vincularse con una base de datos de 153 millones de documentos robados.
IDScan, empresa de verificación de identidad, ha confirmado que unos atacantes accedieron a datos de clientes alojados en su nube. La compañía publicó un aviso de seguridad el 4 de septiembre en el que reconoce que el 1 de septiembre detectó un acceso no autorizado a información guardada en cuentas de IDScan.net. La confirmación llega después de que se vinculara a la empresa con una base de datos con más de 153 millones de escaneos de permisos de conducir de Estados Unidos y Canadá.
El aviso está fechado el 4 de septiembre, pero la página llevaba una directiva noindex que pedía a los buscadores que no la indexaran. La empresa dice que su investigación sigue abierta y que un tercero no autorizado "puede" haber accedido o copiado información de clientes almacenada en las cuentas de su plataforma cloud. Entre los datos que pueden haberse expuesto figuran nombres completos y números de permisos de conducir u otros documentos de identidad oficiales.
De dónde sale la cifra
El caso se destapó el 1 de septiembre, cuando Brian Krebs informó de que una plataforma de la dark web llamada Nexus ofrecía acceso a más de 153 millones de escaneos de permisos estadounidenses y canadienses. El servicio afirmaba contener además 10 millones de tarjetas de identidad, 3 millones de documentos de viaje y 579.000 tarjetas médicas. Krebs verificó muestras buscando registros suyos y de otras personas que dieron su consentimiento, y siguió el rastro hasta IDScan.
Tras la difusión de la noticia, Nexus se cayó, aunque es probable que los atacantes conserven la base de datos. Desde entonces varios grupos han afirmado estar vendiendo el conjunto completo, sin que se haya podido confirmar que esas ventas sean reales.
A quién afecta
IDScan vende tecnología que otras empresas usan para escanear, autenticar y extraer información de documentos oficiales. Entre sus clientes hay alquiler de coches, comercio minorista, entidades financieras, dispensarios de cannabis, armerías y hoteles. La compañía sostiene que el acceso completo a la información expuesta requería un pago, y que está notificando a los posibles afectados "por exceso de cautela" con seguimiento de crédito y protección de identidad gratuitos. Añade que coopera con las fuerzas de seguridad federales, y el FBI ya confirmó que investiga el incidente. Antes de que IDScan reconociera nada, ya se habían presentado varias demandas contra la empresa.
El detalle del aviso está en la notificación publicada por IDScan.
Para quien administra sistemas de identidad, el episodio tiene una parte incómoda: los documentos de identidad no se pueden rotar. Una contraseña filtrada se cambia en una tarde; un número de permiso de conducir, no. Y este tipo de plataformas concentra millones de ellos en un único punto que las empresas integran sin verlo, como una API más.
