Un servicio en la dark web vende 153 millones de carnés de conducir

Un nuevo servicio en la dark web está vendiendo escaneos de más de 153 millones de carnés de conducir de Estados Unidos y Canadá. La cifra parece real: una búsqueda en blanco devuelve unos 11,5 millones de páginas de resultados, y el número de registros sigue creciendo: en solo 24 horas añadieron casi 400.000 carnés más.

El servicio se llama Nexus y se anunció esta semana en el foro de cibercrimen ruso Exploit. Su propietario incluso regaló como muestra el carné de conducir del periodista Brian Krebs, que ha sido quien ha destapado la historia y ha confirmado que los timestamps de las imágenes coinciden con un vuelo que tomó en junio de 2025.

La pista apunta a idscan.net

Nexus afirma que los datos provienen de una brecha activa en "una importante empresa de verificación de identidad" que trabaja con varias compañías del Fortune 500. Todos los indicios apuntan a idscan.net, una empresa con sede en Nueva Orleans que procesa más de 21 millones de verificaciones al mes en 20.000 ubicaciones.

Entre sus clientes están Hertz, Target, FedEx, Motorola Solutions y Caesars Entertainment. La empresa también tiene un acuerdo exclusivo con Planet13, una cadena de dispensarios de marihuana con tiendas en varios estados, y según su web, sus escáneres usan luz infrarroja y ultravioleta, lo que encaja con las imágenes que se venden en Nexus: cada registro incluye seis fotos, con versiones normal, infrarroja y ultravioleta del anverso y el reverso.

Krebs contactó con una docena de amigos y familiares y encontró los carnés de nueve de ellos. Los timestamps de las imágenes coincidían con viajes o alquileres de coche. En su caso, el timestamp coincidía con un alquiler en Hertz. Su madre también aparece, con timestamps apenas unos segundos después de los suyos, porque entregaron los carnés a la vez en el mostrador de Hertz. El investigador Zach Edwards, fundador de DecryptAds, también aparece: el timestamp de su carné coincide con un viaje a Las Vegas para la DEFCON, donde lo escaneó un dispensario de Planet13.

El FBI ya investiga

El FBI ha abierto una investigación oficial desde su oficina de Nueva Orleans sobre una posible brecha en idscan.net. La empresa, contactada por Krebs, se limitó a decir que está investigando el asunto. "En este punto no puedo compartir más información", dijo Jillian Kossman, responsable de marketing y operaciones.

El servicio también vende carnés de altos cargos del gobierno de EE. UU., incluido el secretario de Defensa, Pete Hegseth, y el subdirector del FBI. No encontraron el del director Kash Patel.

Qué implica

No se sabe aún cuántos datos se han filtrado ni cómo exactamente se produjo la brecha. Pero el alcance es enorme: 153 millones de carnés, más de 10 millones de tarjetas de identificación, 3 millones de pasaportes internacionales y 579.000 tarjetas médicas. La preocupación no es solo el fraude de crédito: Larry Baldwin, investigador de Cybera, señala que expone a personas que no quieren ser encontradas, como víctimas de violencia doméstica o testigos protegidos.