O FBI abriu uma investigação sobre o que pode se tornar um dos maiores vazamentos de documentos de identidade já registrados na América do Norte. Um serviço clandestino chamado Nexus afirmou possuir mais de 153 milhões de carteiras de motorista digitalizadas de cidadãos dos Estados Unidos e Canadá.
A informação apresentada na imagem é verdadeira, mas existe uma ressalva fundamental: os 153 milhões representam a quantidade alegada pelos responsáveis pelo serviço criminoso e ainda não um número oficialmente confirmado de vítimas.
O Nexus surgiu recentemente em um conhecido fórum de cibercrime de língua russa oferecendo acesso a uma gigantesca base de documentos. Além das carteiras de motorista, os operadores alegavam possuir mais de 10 milhões de cartões de identidade, milhões de documentos internacionais e de viagem e pelo menos 579 mil cartões médicos.
Somadas as diferentes categorias, as alegações envolvem informações relacionadas a cerca de 170 milhões de registros de identidade.
Criminosos vendiam cópias digitais dos documentos
O aspecto mais preocupante do caso é a qualidade das informações disponibilizadas.
Não se trata apenas de uma lista contendo nomes e números de documentos.
Os registros analisados incluem imagens digitalizadas da frente e do verso das carteiras, informações presentes nos códigos de barras e, em alguns casos, imagens capturadas em diferentes espectros utilizados por equipamentos profissionais para verificar a autenticidade física dos documentos.
Esse tipo de material pode ser extremamente valioso para criminosos especializados em roubo de identidade, abertura fraudulenta de contas, engenharia social e tentativas de contornar processos de verificação de identidade.
A situação é ainda mais grave porque muitas informações presentes em documentos oficiais não podem simplesmente ser alteradas depois de um vazamento, como acontece com uma senha.
Nome, data de nascimento e características físicas permanecem vinculados à vítima.
Investigação aponta para empresa de verificação de identidade
As primeiras análises levantaram suspeitas sobre uma possível ligação entre os documentos e a IDScan.net, empresa de Nova Orleans especializada em tecnologias de verificação de identidade.
A companhia fornece soluções utilizadas para digitalizar, autenticar e extrair informações de carteiras de motorista, passaportes e outros documentos.
A possível conexão foi identificada depois que registros disponíveis no Nexus foram comparados com situações reais em que determinadas vítimas tiveram seus documentos escaneados.
Os horários registrados nos arquivos coincidiram com verificações realizadas por usuários, fortalecendo a hipótese de que parte das informações tenha passado pela infraestrutura relacionada ao serviço.
Entretanto, a IDScan.net ainda não foi confirmada oficialmente como origem do vazamento.
A empresa informou que está investigando o caso.
FBI de Nova Orleans entrou no caso
O escritório do FBI em Nova Orleans abriu uma investigação para determinar de onde os documentos foram obtidos e se existe uma invasão ainda ativa contra alguma empresa responsável pelo processamento dessas informações.
Esse ponto preocupa particularmente os especialistas.
Os responsáveis pelo Nexus alegaram que os dados estariam sendo obtidos de uma violação ainda em andamento em uma grande companhia de verificação de identidade.
Relatos indicaram que aproximadamente 400 mil novos registros chegaram a ser adicionados ao serviço em apenas 24 horas, o que levantou a possibilidade de que informações continuassem sendo extraídas.
Pouco depois da divulgação pública do caso, o Nexus deixou de funcionar.
Isso, entretanto, não significa necessariamente que os dados tenham desaparecido. Uma vez copiados, arquivos podem ser revendidos, compartilhados ou utilizados por diferentes grupos criminosos durante anos.
Documentos oficiais viraram um ativo valioso para criminosos
O episódio expõe um problema crescente provocado pela digitalização dos processos de identificação.
Bancos, locadoras de veículos, plataformas financeiras, serviços online e diversas outras empresas pedem que usuários fotografem ou digitalizem documentos para comprovar sua identidade.
Esses procedimentos ajudam a combater fraudes, mas também criam gigantescos repositórios de documentos extremamente sensíveis.
Caso uma empresa centralize milhões dessas imagens e sua infraestrutura seja comprometida, o invasor pode obter justamente os materiais utilizados para provar que alguém é quem afirma ser.
O resultado cria um paradoxo: o mecanismo desenvolvido para impedir fraude pode se transformar em matéria-prima para novas fraudes caso seja comprometido.
Por que esse vazamento pode ser tão perigoso?
Uma senha comprometida pode ser substituída em minutos.
Um cartão bancário pode ser bloqueado e outro emitido.
Documentos de identidade representam um problema diferente.
Informações como data de nascimento, endereço histórico, fotografia, características físicas e outros dados associados à identidade permanecem relevantes durante muito tempo.
Além disso, imagens de documentos legítimos podem ser combinadas com informações obtidas em outros vazamentos.
Criminosos podem cruzar diferentes bancos de dados para montar perfis extremamente detalhados das vítimas e tornar golpes de engenharia social muito mais convincentes.
Caso reacende debate sobre armazenamento de documentos
O incidente também levanta uma questão importante para empresas que utilizam serviços terceirizados de identificação: por quanto tempo cópias de documentos realmente precisam permanecer armazenadas?
A retenção de milhões de imagens depois da conclusão de uma verificação aumenta o impacto potencial de qualquer invasão futura.
Especialistas defendem que empresas adotem políticas mais rígidas de minimização de dados, armazenando apenas as informações realmente necessárias e eliminando documentos quando não houver justificativa legal ou operacional para mantê-los.
Tecnologias capazes de confirmar atributos de identidade sem armazenar permanentemente uma cópia completa do documento também começam a ganhar importância.
Dimensão real ainda precisa ser confirmada
Apesar da gravidade das evidências, é importante separar o que está confirmado das alegações feitas pelos criminosos.
O FBI está investigando o caso e existem evidências de que documentos legítimos foram disponibilizados no Nexus.
Por outro lado, ainda não existe confirmação independente de que 153 milhões de pessoas diferentes tenham sido afetadas, nem uma conclusão oficial sobre qual empresa foi comprometida.
Um mesmo indivíduo também pode possuir mais de um registro dentro de grandes bases de verificação.
Mesmo com essa ressalva, o volume alegado coloca o incidente entre os casos de identidade digital mais preocupantes dos últimos anos.
Se a dimensão for confirmada, o impacto poderá permanecer durante muito mais tempo do que o de um vazamento tradicional de senhas.
Afinal, criminosos podem perder uma senha quando ela é alterada. Uma cópia digital completa da identidade de uma pessoa pode continuar sendo útil por anos.
