Según informes de Cybernews, un mercado de la dark web supuestamente está vendiendo escaneos de 153 millones de licencias de conducir presuntamente relacionados con una violación en la empresa de verificación de identidad IDScan.net. El FBI ahora está investigando el incidente, que de confirmarse estaría entre las mayores exposiciones de documentos de identificación emitidos por el gobierno hasta la fecha.

Qué sucedió: las acusaciones de la violación de IDScan

Según los informes, apareció un anuncio en una plataforma de la dark web ofreciendo escaneos digitales de licencias de conducir, supuestamente obtenidos de IDScan.net, una empresa que proporciona servicios de verificación de identidad utilizados por negocios para confirmar las identidades de sus clientes. La escala de la presunta violación, 153 millones de registros, es asombrosa incluso para los estándares de los recientes incidentes de datos a gran escala. Hasta ahora, el método exacto de compromiso, el cronograma de la violación y el alcance total de las personas afectadas no han sido confirmados de forma independiente. La participación del FBI sugiere que los investigadores se están tomando las afirmaciones lo suficientemente en serio como para iniciar una investigación formal.

Los escaneos de licencias de conducir no son solo nombres y direcciones. Por lo general, incluyen una foto, número de licencia, fecha de nacimiento, descripción física y, a veces, datos de código de barras que codifican aún más información personal. Cuando las empresas de verificación de identidad recopilan estos datos para confirmar quién es alguien antes de una transacción, se convierten en objetivos de alto valor precisamente porque agregan tanto material sensible en un solo lugar.

Por qué 153 millones de licencias de conducir importan tanto

La violación de licencias de conducir se enmarca en un patrón más amplio de grupos criminales que atacan a organizaciones que poseen concentraciones de datos de identidad, ya sea un proveedor de facturación, un bufete de abogados o un servicio de verificación de identidad. Vpn.social ha cubierto incidentes similares, incluida la violación de ransomware de MCBS que filtró datos de 1.3 millones de pacientes y campañas de extorsión como el ataque de Luna Moth a los bufetes Jones Day y WilmerHale. Estos casos, junto con intentos de extorsión como la demanda de rescate de la banda Everest contra Stadler Rail, demuestran que los grupos criminales cada vez atacan más a organizaciones que se sitúan en medio de transacciones de confianza: empresas de facturación, asesores legales y verificadores de identidad.

Lo que distingue una violación de licencias de conducir de muchas otras filtraciones de datos es la permanencia de la información involucrada. A diferencia de una contraseña o incluso un número de tarjeta de crédito, un número de licencia de conducir y una foto no se pueden simplemente restablecer. Las víctimas de este tipo de exposición pueden necesitar trabajar con el departamento de vehículos motorizados de su estado para reemitir documentos, e incluso entonces, los detalles personales subyacentes—nombre, fecha de nacimiento, descripción física—permanecen comprometidos indefinidamente. Esto hace que los datos robados de licencias de conducir sean particularmente atractivos para el robo de identidad, el fraude de identidad sintética y la evasión de controles de conocimiento del cliente en bancos, intercambios y otros servicios regulados.

Qué significa esto para ti

Si has utilizado servicios de verificación de identidad en línea, ya sea para abrir una cuenta financiera, alquilar un automóvil, verificar tu edad o completar una verificación de antecedentes, existe la posibilidad de que tus datos de licencia de conducir hayan pasado por un sistema similar al que presuntamente fue comprometido aquí. Debido a que la violación aún está bajo investigación e IDScan.net no ha emitido, según los informes disponibles, una confirmación pública completa del alcance, las personas afectadas pueden no recibir notificación directa de inmediato.

El riesgo práctico es doble. Primero, los criminales pueden usar los escaneos de licencias robadas para hacerse pasar por las víctimas al abrir nuevas cuentas o superar controles de identidad que dependen de la verificación de documentos. Segundo, combinados con otros datos filtrados, como direcciones de correo electrónico o números de teléfono, un escaneo de licencia de conducir les da a los defraudadores casi todo lo que necesitan para hacerse pasar de manera convincente por otra persona.

Cómo protegerte ahora mismo

Mientras continúa la investigación sobre esta presunta violación de IDScan, hay pasos concretos que puedes tomar para reducir tu exposición:

  • Supervisa de cerca tus informes de crédito y estados de cuenta bancarios para detectar cuentas o consultas que no reconozcas.
  • Considera colocar una alerta de fraude o un congelamiento de crédito en las principales agencias de crédito si sospechas que tu información puede haber sido incluida en esta violación.
  • Sé cauteloso con los servicios que te piden subir una foto de tu licencia de conducir y pregunta a los proveedores cuánto tiempo conservan esos datos y si están cifrados.
  • Presta atención a los intentos de phishing que hagan referencia a detalles personales como tu número de licencia o fecha de nacimiento, ya que los estafadores a menudo usan datos parciales de violaciones para hacer que los mensajes fraudulentos parezcan legítimos.
  • Verifica si la agencia de vehículos motorizados de tu estado ofrece orientación u opciones de reemplazo si tu número de licencia ha sido comprometido.

La presunta venta de 153 millones de licencias de conducir vinculadas a IDScan es un recordatorio de que la verificación de identidad, destinada a proteger a los consumidores, puede convertirse en una responsabilidad cuando las empresas que la realizan son violadas. A medida que se desarrolle la investigación del FBI, es probable que surjan más detalles sobre el alcance y el método de este incidente. Hasta entonces, tratar tu número de licencia de conducir con la misma precaución que aplicarías a un número de Seguro Social es una precaución razonable. Mantenerte alerta ante actividad inusual en tus cuentas ahora es mucho más fácil que desenredar el robo de identidad más tarde.