Qué confirmó IDScan.net y qué datos quedaron expuestos

Una empresa de verificación de identidad con sede en Luisiana, IDScan.net, ha confirmado una filtración de datos presuntamente vinculada a un mercado de la dark web que vende escaneos de más de 153 millones de licencias de conducir de Estados Unidos y Canadá. La confirmación de la empresa se produce tras semanas de reportes sobre un anuncio criminal que ofrecía acceso masivo a documentos de identidad emitidos por el gobierno, incluidos nombres completos e imágenes de licencias, y pone nombre y escala a una historia que hasta ahora había circulado principalmente entre investigadores de seguridad y sistemas de monitoreo de la dark web.

IDScan.net desarrolla herramientas de verificación de identidad y de edad utilizadas por minoristas, bares y otras empresas para escanear y validar identificaciones gubernamentales en el punto de la transacción. Ese modelo de negocio significa que la empresa procesa y almacena enormes volúmenes de datos de licencias de conducir en nombre de sus clientes, precisamente el tipo de repositorio centralizado que se convierte en un objetivo único y atractivo para los atacantes. Cuando una empresa como esta sufre una filtración, las consecuencias no quedan contenidas en un solo negocio. Se propagan a cada minorista, local y plataforma que dependía de IDScan.net para verificar la identificación de un cliente, y a cada persona cuya licencia fue escaneada como parte rutinaria de la compra de productos con restricción de edad.

Por qué las filtraciones de licencias de conducir son más difíciles de superar que las de contraseñas

Una contraseña filtrada es un inconveniente, pero tiene solución. La cambias, activas la autenticación de dos factores y sigues adelante. Una licencia de conducir filtrada es un problema completamente distinto. El documento contiene un nombre legal, fecha de nacimiento, dirección particular, número de licencia y, a menudo, una fotografía, y nada de eso puede simplemente restablecerse. Las víctimas de la exposición de una licencia de conducir normalmente tienen que gestionar ante la agencia de vehículos motorizados de su estado o provincia la solicitud de un nuevo número de licencia, un proceso que lleva tiempo y que no elimina el escaneo filtrado que sigue disponible en un mercado criminal.

Esa permanencia es lo que hace que este tipo de filtración sea especialmente valiosa para los estafadores. Una imagen de licencia robada puede usarse para abrir cuentas financieras, superar verificaciones de identidad en otras empresas o respaldar fraudes de identidad sintética que combinan datos personales reales con información fabricada. Esta no es la primera vez que un repositorio gubernamental de documentos de identidad se ve comprometido a gran escala. La filtración de youX en Australia obligó a una reemisión de licencias de conducir a nivel nacional, y la filtración de ANTS en Francia expuso millones de cuentas vinculadas a credenciales nacionales de identidad y de conducir. El incidente de IDScan.net encaja en el mismo patrón: un sistema centralizado de verificación de identidad que custodia documentos sensibles de millones de personas, vulnerado una vez, con consecuencias que duran mucho más que la propia filtración.

Cómo las leyes de verificación obligatoria aumentan tu exposición a empresas como IDScan

La incómoda realidad detrás de esta filtración es que muchas personas nunca eligieron entregar su licencia de conducir directamente a IDScan.net. Se la entregaron a un bar, a un minorista o a una plataforma en línea que externalizó el paso de verificación a un proveedor tercero, a menudo sin que el cliente supiera qué empresa estaba realmente procesando y almacenando el escaneo. A medida que los mandatos de verificación de edad se han expandido por estados y países, más transacciones cotidianas ahora requieren presentar una identificación gubernamental ante un sistema que nadie puede ver ni auditar. Nuestra cobertura anterior sobre cómo las leyes de verificación de edad están impulsando la adopción masiva de VPN explica por qué los usuarios se sienten cada vez más empujados hacia soluciones alternativas en lugar de someter escaneos de identificación a terceros desconocidos. La filtración de IDScan.net es una clara ilustración del riesgo que crean esas leyes: cada nuevo requisito de verificación añade otro proveedor, otra base de datos y otro posible punto de fallo que custodia tus documentos de identidad.

Pasos para limitar el daño tras una filtración de verificación de identidad

Si crees que tu licencia de conducir puede formar parte de esta exposición, hay pasos concretos que vale la pena tomar ahora. Contacta a la agencia de vehículos motorizados de tu estado o provincia para preguntar sobre alertas de fraude o la reemisión de tu número de licencia si esa opción está disponible. Monitorea tus informes de crédito y considera un congelamiento de crédito, ya que una licencia robada suele usarse para respaldar el robo de identidad más que el fraude financiero directo. Estate atento a intentos de phishing que mencionen tu nombre, dirección o datos de licencia reales, ya que los atacantes usan datos personales verificados para hacer las estafas más convincentes. También vale la pena revisar nuestra cobertura sobre las demandas presentadas tras la filtración de IDScan cuando se alegó por primera vez, que describe las opciones legales que pueden tener las víctimas y qué remediación ha ofrecido la empresa hasta ahora.

Qué significa esto para ti

La filtración de licencias de conducir de IDScan es un recordatorio de que la verificación de identidad se ha convertido en infraestructura, y la infraestructura falla. Puede que nunca interactúes directamente con IDScan.net, y aun así los datos de tu licencia de conducir podrían seguir en sus sistemas porque un minorista o un local eligió a ese proveedor para cumplir con una verificación de edad o identidad. A medida que más transacciones requieren verificación de identidad, el número de empresas que poseen copias de tus documentos gubernamentales sigue creciendo, y también tu exposición a una filtración que no tuviste ningún papel en causar.

Puntos clave

Verifica si tu licencia fue escaneada por un negocio que usó IDScan.net para la verificación, y contacta a tu DMV sobre la reemisión de tu número de licencia si te preocupa. Congela tu crédito y monitorea actividad sospechosa en tus cuentas en los próximos meses, ya que los datos de licencias de conducir respaldan fraudes de identidad a más largo plazo en lugar de un golpe único y rápido. Mantente alerta ante mensajes de phishing que usen detalles personales precisos para parecer legítimos. Por último, presta atención a qué servicios terceros utiliza un negocio antes de entregar una identificación gubernamental, ya que ese proveedor, y no el minorista en el que confías, suele ser quien realmente almacena tus datos.