O que a IDScan.net confirmou e quais dados foram expostos

Uma empresa de verificação de identidade com sede na Louisiana, IDScan.net, confirmou uma violação de dados supostamente ligada a um mercado da dark web que vende digitalizações de mais de 153 milhões de carteiras de motorista dos EUA e do Canadá. A confirmação da empresa ocorre após semanas de reportagens sobre um anúncio criminoso que oferecia acesso em massa a documentos de identidade emitidos pelo governo, incluindo nomes completos e imagens de carteiras de motorista, e dá nome e escala a uma história que até então circulava principalmente entre pesquisadores de segurança e monitoramento da dark web.

A IDScan.net desenvolve ferramentas de verificação de identidade e de idade usadas por varejistas, bares e outras empresas para digitalizar e validar documentos de identidade oficiais no ponto de transação. Esse modelo de negócio significa que a empresa processa e armazena enormes volumes de dados de carteiras de motorista em nome de seus clientes, exatamente o tipo de repositório centralizado que se torna um alvo único atraente para atacantes. Quando uma empresa como essa é violada, as consequências não ficam contidas em um único negócio. Elas se propagam para todos os varejistas, estabelecimentos e plataformas que dependiam da IDScan.net para verificar a identidade de um cliente, e para todas as pessoas cuja carteira foi digitalizada como parte rotineira da compra de produtos com restrição de idade.

Por que violações de carteiras de motorista são mais difíceis de superar do que vazamentos de senhas

Uma senha violada é inconveniente, mas corrigível. Você a altera, ativa a autenticação de dois fatores e segue em frente. Uma carteira de motorista violada é um problema completamente diferente. O documento contém nome legal, data de nascimento, endereço residencial, número da carteira e, muitas vezes, uma fotografia, e nada disso pode simplesmente ser redefinido. Vítimas da exposição de carteiras de motorista normalmente precisam recorrer ao órgão estadual ou provincial de trânsito para solicitar um novo número de carteira, um processo que leva tempo e não apaga a digitalização vazada que está em um mercado criminoso.

Essa permanência é o que torna esse tipo de violação especialmente valiosa para fraudadores. Uma imagem de carteira de motorista roubada pode ser usada para abrir contas financeiras, passar por verificações de identidade em outras empresas ou sustentar fraude de identidade sintética que combina dados pessoais reais com informações fabricadas. Esta não é a primeira vez que um repositório de documentos de identidade governamentais é comprometido em larga escala. A violação da youX na Austrália forçou a reemissão nacional de carteiras de motorista, e a violação da ANTS na França expôs milhões de contas ligadas à identidade nacional e credenciais de habilitação. O incidente da IDScan.net segue o mesmo padrão: um sistema centralizado de verificação de identidade que guarda documentos sensíveis de milhões de pessoas, violado uma vez, com consequências que duram muito mais do que a própria violação.

Como leis de obrigatoriedade de verificação aumentam sua exposição a empresas como a IDScan

A realidade desconfortável por trás dessa violação é que muitas pessoas nunca escolheram entregar sua carteira de motorista diretamente à IDScan.net. Elas a entregaram a um bar, a um varejista ou a uma plataforma online que terceirizou a etapa de verificação para um fornecedor externo, muitas vezes sem que o cliente soubesse qual empresa estava de fato processando e armazenando a digitalização. À medida que os mandatos de verificação de idade se expandiram por estados e países, mais transações cotidianas agora exigem a apresentação de um documento de identidade oficial a um sistema que ninguém pode ver ou auditar. Nossa cobertura anterior sobre como leis de verificação de idade estão impulsionando a adoção massiva de VPNs explica por que os usuários se sentem cada vez mais empurrados para soluções alternativas em vez de enviar digitalizações de identidade a terceiros desconhecidos. A violação da IDScan.net é uma ilustração clara do risco que essas leis criam: cada novo requisito de verificação adiciona outro fornecedor, outro banco de dados e outro possível ponto de falha guardando seus documentos de identidade.

Medidas para limitar danos após uma violação de verificação de identidade

Se você acredita que sua carteira de motorista pode fazer parte dessa exposição, há medidas concretas que vale a pena tomar agora. Entre em contato com o órgão estadual ou provincial de trânsito para perguntar sobre alertas de fraude ou sobre a reemissão do número da sua carteira, se essa opção estiver disponível. Monitore seus relatórios de crédito e considere um bloqueio de crédito, já que uma carteira roubada costuma ser usada para sustentar roubo de identidade em vez de fraude financeira direta. Fique atento a tentativas de phishing que mencionem seu nome real, endereço ou detalhes da carteira, pois os atacantes usam dados pessoais verificados para tornar os golpes mais convincentes. Também vale revisar nossa reportagem sobre os processos abertos após a violação da IDScan quando ela foi alegada pela primeira vez, que descreve as opções legais que as vítimas podem ter e a remediação que a empresa ofereceu até agora.

O que isso significa para você

A violação de carteiras de motorista da IDScan é um lembrete de que a verificação de identidade se tornou infraestrutura, e infraestrutura falha. Você pode nunca interagir diretamente com a IDScan.net, mas os dados da sua carteira de motorista ainda podem estar em seus sistemas porque um varejista ou estabelecimento escolheu esse fornecedor para atender a uma verificação de idade ou identidade. À medida que mais transações exigem verificação de identidade, o número de empresas que guardam cópias dos seus documentos oficiais continua crescendo, e sua exposição a uma violação na qual você não teve nenhum papel também.

Principais conclusões

Verifique se sua carteira foi digitalizada por uma empresa que usou a IDScan.net para verificação e entre em contato com seu DMV sobre a reemissão do número da sua carteira se estiver preocupado. Bloqueie seu crédito e monitore atividades suspeitas em contas nos próximos meses, já que dados de carteiras de motorista sustentam fraude de identidade de longo prazo em vez de um golpe rápido e pontual. Fique alerta a mensagens de phishing que usam detalhes pessoais precisos para parecerem legítimas. Por fim, preste atenção em quais serviços de terceiros uma empresa utiliza antes de entregar um documento de identidade oficial, já que esse fornecedor, e não o varejista em que você confia, muitas vezes é quem de fato armazena seus dados.