Nexus pone a la venta más de 153 millones de licencias de conducir y el FBI investiga el origen

Un servicio de compraventa de identidades en la dark web llamado Nexus asegura disponer de imágenes digitales de más de 153 millones de licencias de conducir de Estados Unidos y Canadá. El volumen de documentos, todavía no confirmado como un número de personas únicas afectadas, ha provocado una investigación sobre el posible origen de los datos y pone el foco sobre la seguridad de los sistemas utilizados para verificar identidades.

La investigación inicial de KrebsOnSecurity apunta a IDScan.net, una compañía de Luisiana que proporciona tecnología para escanear y verificar documentos de identidad. IDScan.net ha reconocido que está investigando un posible incidente, pero todavía no ha confirmado públicamente que sus sistemas sean el origen de la base de datos comercializada por Nexus.

Nexus afirma tener más de 153 millones de licencias

Además de las más de 153 millones de licencias de conducir, Nexus asegura disponer de más de 10 millones de otras tarjetas de identificación, más de tres millones de documentos de viaje o identificaciones internacionales y al menos 579.000 tarjetas médicas.

La cifra de 153 millones debe interpretarse con cautela. Se trata del número de registros anunciado por los responsables de Nexus y no de una cifra confirmada de víctimas únicas. Una misma persona podría aparecer en varias imágenes o registros. Sin embargo, las comprobaciones realizadas durante la investigación indican que la colección contiene una cantidad muy elevada de documentos reales.

Algunos registros incluyen imágenes del anverso y reverso de las licencias, además de fotografías obtenidas mediante luz infrarroja y ultravioleta. Estas técnicas son utilizadas por determinados sistemas profesionales para comprobar elementos de seguridad de los documentos.

El volumen de información también parecía seguir aumentando. En aproximadamente 24 horas, el número de licencias anunciado por Nexus creció en cerca de 400.000 registros. Los operadores del servicio afirmaban haber estado extrayendo nuevos datos durante más de un año, aunque esa afirmación tampoco ha sido verificada de forma independiente.

Las pistas conducen a sistemas de verificación de identidad

Una de las claves para localizar el posible origen fueron las marcas de tiempo asociadas a varios documentos. Personas cuyos permisos aparecían en Nexus pudieron relacionar esas fechas con momentos concretos en los que habían entregado sus identificaciones para ser escaneadas, como durante el alquiler de vehículos o el acceso a establecimientos que realizan controles de edad.

En varios casos analizados, las fechas coincidían con operaciones realizadas en lugares que utilizan o han utilizado soluciones relacionadas con IDScan.net. La compañía afirma que su tecnología gestiona más de 21 millones de verificaciones de identidad al mes en más de 20.000 ubicaciones de todo el mundo.

Estas coincidencias constituyen indicios relevantes, pero no equivalen a una confirmación forense de que IDScan.net haya sufrido una filtración de esta magnitud. La empresa indicó que inició una investigación para determinar si se produjo un acceso no autorizado y cuál podría ser el alcance del incidente.

El FBI investiga el posible incidente

Según KrebsOnSecurity, la oficina del FBI en Nueva Orleans abrió una investigación sobre la aparente brecha relacionada con IDScan.net. Por el momento no se ha publicado una conclusión oficial que establezca el origen definitivo de los documentos ni el número real de personas afectadas.

Poco después de que el caso se hiciera público, el sitio de Nexus desapareció de la dark web y fue sustituido por un mensaje indicando que el servicio ya no estaba disponible. Su retirada no implica que las copias de los documentos hayan sido eliminadas ni que los datos no puedan circular por otros canales.

El riesgo de almacenar copias completas de documentos

El incidente expone un problema particular de los sistemas de verificación de identidad. A diferencia de una contraseña comprometida, muchos de los datos presentes en una licencia de conducir no pueden modificarse fácilmente. Una copia del documento puede contener nombre, fotografía, fecha de nacimiento, dirección, número de licencia y otros elementos utilizados para demostrar la identidad de una persona.

La concentración de millones de documentos en proveedores especializados también convierte estas infraestructuras en objetivos especialmente valiosos para los atacantes. Cuantas más empresas recurren a terceros para comprobar edad o identidad, mayor es el número de sistemas por los que pueden circular estos datos sensibles.

El caso de Nexus todavía está en investigación. La existencia de los registros y las comprobaciones realizadas respaldan que se trata de una colección significativa de documentos auténticos, pero el origen exacto, el número de personas afectadas y las circunstancias de la posible intrusión siguen sin estar definitivamente establecidos.