Un enorme archivio con oltre 153 milioni di patenti, insieme a tessere mediche e documenti di viaggio, sarebbe finito in vendita sul dark web dopo un maxi leak. Il materiale veniva proposto attraverso un servizio chiamato Nexus, che sostiene di aver ottenuto le scansioni dopo una violazione ai danni di una società di verifica dell’identità. L’FBI è a conoscenza del caso e sta indagando.

Un nuovo caso di sicurezza informatica riporta l’attenzione su un problema sempre più delicato: le copie digitali dei nostri documenti d’identità.

Secondo le informazioni riportate, oltre 153 milioni di patenti sarebbero state esposte e successivamente messe in vendita online. Nell’archivio comparirebbero anche tessere mediche e documenti utilizzati per viaggiare, appartenenti soprattutto a cittadini di Stati Uniti e Canada.

Maxi leak di documenti: 153 milioni di patenti sul dark web

Il materiale sarebbe stato distribuito attraverso Nexus, un servizio presente sul dark web. Nexus avrebbe sostenuto che le scansioni provenissero dalla violazione di una società specializzata nella verifica dell’identità.

Si tratta di documenti particolarmente sensibili. Una patente può infatti contenere nome completo, indirizzo, numero identificativo, data di nascita e altri dati utili per verificare l’identità di una persona.

Proprio per questo, una raccolta di queste dimensioni può rappresentare un rischio importante. Una scansione completa è molto più utile a un criminale rispetto a una semplice lista di indirizzi email o password.

L’FBI sta indagando il maxi leak di documenti

Il Federal Bureau of Investigation sarebbe già a conoscenza del caso e avrebbe avviato accertamenti.

Nel frattempo, il giornalista investigativo ed esperto di sicurezza Brian Krebs è stato informato della fuga di dati. La vicenda lo riguarda anche direttamente, perché nell’archivio sarebbero comparsi sia il suo documento sia quelli di amici e familiari.

Krebs ha quindi iniziato a ricostruire la possibile origine delle scansioni.

I sospetti del maxi leak di documenti si concentrano su IDScan.net

L’indagine giornalistica avrebbe ristretto l’attenzione verso IDScan.net, società specializzata nella verifica dell’identità.

Secondo il materiale fornito, i servizi dell’azienda vengono utilizzati da numerose realtà commerciali, tra cui Hertz, Target e FedEx. La tecnologia sarebbe presente anche in dispensari, negozi e aziende che operano nei settori trasporti e finanza.

IDScan.net sarebbe utilizzata complessivamente in oltre 20.000 sedi nel mondo.

Un portavoce della società avrebbe confermato a Krebs che è in corso un’indagine relativa alla violazione. Il materiale disponibile, però, non consente ancora di stabilire definitivamente l’origine di tutti i documenti comparsi online.

Nexus avrebbe rimosso il servizio

Con l’aumento dell’attenzione attorno alla vicenda, Nexus avrebbe successivamente rimosso dal dark web il servizio dedicato alle patenti.

Questo non significa però che le scansioni siano automaticamente scomparse. Una volta copiati e distribuiti, dati di questo tipo possono essere replicati più volte e diventare molto difficili da eliminare completamente.

È uno dei problemi principali legati alle fughe di documenti. Una password può essere cambiata, mentre patente, nome, data di nascita o altri dati personali non possono essere sostituiti con la stessa facilità.

Il problema delle verifiche dell’identità

La vicenda mette in evidenza anche un problema più ampio. Sempre più aziende richiedono una scansione di un documento per verificare l’identità del cliente.

Il controllo può essere necessario per noleggi, servizi finanziari, acquisti regolamentati o altre operazioni. Il risultato è però che copie di documenti estremamente sensibili finiscono nei sistemi di società terze.

Il ricercatore di sicurezza Zach Edwards, citato nel materiale, sottolinea proprio questo rischio. Sempre più dati vengono affidati a provider esterni, mentre il livello di controllo sulla loro sicurezza potrebbe non crescere allo stesso ritmo.

Perché una patente rubata è pericolosa

Una scansione di un documento può essere sfruttata in diversi tentativi di furto d’identità. Il criminale dispone infatti di informazioni che possono rendere più credibili richieste, registrazioni o tentativi di impersonificazione.

Il problema non significa automaticamente che ogni documento presente nel leak verrà utilizzato per una frode. La disponibilità di questi dati aumenta però il numero di informazioni che possono essere combinate con altre fughe già presenti online.

Ed è proprio l’unione di più database a rendere certi attacchi particolarmente efficaci.

Come proteggersi dal furto d’identità

Brian Krebs sottolinea un punto poco rassicurante: in casi di questa portata è molto difficile proteggersi completamente. Se una società a cui abbiamo consegnato una scansione viene violata, l’utente ha un controllo molto limitato su ciò che accade successivamente.

Il consiglio più radicale sarebbe evitare la scansione del documento quando non è realmente necessaria. Nella vita quotidiana, però, non sempre è possibile rifiutarsi.

Ci sono comunque alcune precauzioni utili:

• conservare i documenti importanti in luoghi sicuri;
• evitare di inviare dati sensibili tramite email quando non è indispensabile;
• prestare molta attenzione a phishing e software malevoli;
• utilizzare password diverse e robuste per i vari servizi;
• controllare attività sospette legate alla propria identità o alle proprie finanze.

Negli Stati Uniti, se si teme che i propri dati siano già stati compromessi, viene inoltre consigliato di congelare il credito e contattare la Federal Trade Commission per valutare le azioni da intraprendere.

Il vero problema sono le copie che non controlliamo più

Questo episodio mostra quanto sia cambiato il concetto di documento personale. Una volta digitalizzata, una patente può essere archiviata, duplicata e trasferita attraverso sistemi sui quali il proprietario non ha alcun controllo diretto.

La comodità delle verifiche digitali porta quindi con sé una responsabilità enorme per le aziende che raccolgono queste informazioni.

Nel caso delle 153 milioni di patenti riportate come finite sul dark web, le indagini dovranno chiarire origine, portata reale della violazione e responsabilità. Per ora, il dato più importante è un altro: quando affidiamo una copia digitale di un documento a un servizio, la sicurezza non dipende più soltanto da noi.

Ed è proprio questa la parte più preoccupante. Una password compromessa può essere sostituita in pochi minuti; una scansione della nostra identità può restare utilizzabile per anni.