153 milhões de carteiras de motorista à venda. A empresa guardava seis fotos de cada uma, para sempre
A IDScan.net verifica documentos em balcões de locadoras, hotéis e dispensários dos EUA. Um serviço na dark web vendia os scans por nome, com 400 mil registros novos em 24 horas. A empresa confirmou o roubo em 10 de setembro; nove ações coletivas em três dias.
Em 31 de agosto, uma fonte avisou Brian Krebs, do KrebsOnSecurity, sobre um serviço chamado Nexus, anunciado no fórum russo Exploit: busca por nome, e o resultado era a carteira de motorista escaneada da pessoa. A amostra grátis era a carteira do próprio Krebs. O anúncio somava 153 milhões de carteiras dos EUA e do Canadá, mais 10 milhões de outros documentos de identidade, 3 milhões de documentos de viagem e 579 mil cartões de saúde. Enquanto Krebs olhava, a base cresceu 400 mil registros em um dia.
A origem era a IDScan.net, de Louisiana, que verifica documentos em balcões de Hertz, Target, FedEx, Motorola Solutions, Jack Henry, Caesars e mais de mil dispensários de cannabis em 19 estados: 21 milhões de verificações por mês em 20 mil locais, segundo material da própria empresa. Cada scan gerava seis imagens, frente, verso, scan básico, infravermelho e ultravioleta, com carimbo de hora no nome do arquivo, guardadas na nuvem por tempo indefinido. A regulação só exige uma descrição do documento consultado. Krebs viu o próprio scan, de um voo de junho de 2025.
Krebs publicou em 1º de setembro; o FBI de New Orleans abriu investigação e o Nexus saiu do ar no mesmo dia. A Reuters confirmou a apuração do FBI em 2 de setembro; a TIME achou a carteira do secretário de Defesa Pete Hegseth na amostra. Entre 2 e 4 de setembro, nove ações coletivas entraram no tribunal federal da Louisiana. Em 10 de setembro a IDScan confirmou ao TechCrunch o roubo de mais de 150 milhões de carteiras dos seus sistemas em nuvem, por acesso não autorizado ao longo de cerca de um ano. O vetor de entrada não foi divulgado.
Zach Edwards, da Infoblox, ao Krebs: nunca houve um vazamento de carteiras de motorista nessa escala. O preço por registro, US$ 100, aparece só na Cybernews e fica em confiança fraca. A conta que a IDScan não fez: uma verificação leva segundos, a imagem ficou um ano à disposição de quem entrou.
Uma verificação leva segundos. A imagem ficou um ano à disposição de quem entrou.
A conta que ninguém fez| O que estava à venda | |
| Carteiras de motorista, EUA e Canadá | 153 mi |
| Outros documentos de identidade | 10 mi |
| Documentos de viagem | 3 mi |
| = Cartões de saúde | 579 mil |
| Como o acervo existia | |
| Imagens guardadas por scan | 6 |
| Verificações por mês, 20 mil locais | 21 mi |
| = Tempo de retenção | indefinido |
Números do anúncio do Nexus, observados por Krebs e repetidos por TechCrunch, BleepingComputer e SecurityWeek. A Reuters fala em dezenas de milhões; no fórum, o vendedor chegou a dizer 170 milhões. A IDScan confirmou mais de 150 milhões e não fechou o número.
Humanos decidiram guardar para sempre seis imagens de cada carteira que só precisavam olhar uma vez, e ninguém notou um ano de saída de dados até um jornalista achar a própria carteira à venda.
A contagem de ações coletivas varia: nove nos dockets listados pela Zyphe, ao menos quatro na Infosecurity. Os dockets não foram abertos diretamente.
Evidência · 8 fontes▾
Entidades IDScan.net, Nexus, FBI, Brian Krebs, Hertz, Target, FedEx, Caesars Entertainment
