IDScan confirma una brecha tras la aparición de cientos de millones de carnés de conducir en la dark web
IDScan ha confirmado que un tercero no autorizado pudo acceder y copiar información almacenada en su plataforma, después de que apareciera en un mercado de la dark web una gigantesca base de datos con unos 153 millones de escaneos de permisos de conducir de EE.UU. y Canadá.
La compañía es un proveedor de tecnología de verificación de identidad. Su plataforma permite a empresas y organizaciones escanear carnés de conducir, documentos de identidad y pasaportes, comprobar su autenticidad y utilizar esos datos para verificar quién es una persona. Sus soluciones se emplean en sectores como la banca, la automoción, el transporte, los casinos, el comercio y los establecimientos que necesitan comprobar la edad de sus clientes.
IDScan tuvo conocimiento del acceso no autorizado alrededor del 1 de septiembre y ha puesto en marcha una investigación para determinar el alcance de lo ocurrido. La firma todavía no ha confirmado que los más de 150 millones de carnets ofrecidos en la dark web procedan íntegramente de sus sistemas ni ha precisado cuántas personas se han visto afectadas.
La base de datos incluye también alrededor de 10 millones de documentos nacionales de identidad, más de tres millones de identificaciones internacionales y unos 579.000 documentos médicos. Parte de esta información habría sido puesta a la venta en Nexus, un mercado clandestino relacionado con la ciberdelincuencia.
El periodista especializado en seguridad Brian Krebs fue quien descubrió la oferta y pudo comprobar la autenticidad de algunos registros. Entre ellos, curiosamente, se encontraba su propio permiso de conducir. Posteriormente, las evidencias apuntaron hacia IDScan como posible origen de la información.
La confirmación de la compañía supone un paso importante respecto a las primeras informaciones sobre el caso, puesto que ya no se trata únicamente de una base de datos de origen desconocido localizada en la dark web, sino de un acceso no autorizado reconocido por el proveedor que almacena y procesa este tipo de documentación.
Aún quedan detalles por conocer
El FBI también investiga el incidente. La compañía de identidad, por su parte, asegura que está colaborando con las autoridades y ha anunciado servicios gratuitos de protección frente al robo de identidad y monitorización crediticia para las personas potencialmente afectadas.
Quedan por determinar cuestiones clave como la vía utilizada para acceder a los sistemas, el volumen real de información sustraída y el número de personas total cuyos documentos han terminado en manos de los ciberdelincuentes.