153 millones de escaneos de licencias de conducir a la venta: el caso Nexus y el problema de los datos KYC
A principios de septiembre de 2026, un servicio de la darknet llamado Nexus ofrecía acceso con buscador a escaneos de más de 153 millones de licencias de conducir de Estados Unidos y Canadá, además de millones de otros documentos de identidad. En cuestión de días, la oficina del FBI en Nueva Orleans abrió una investigación oficial sobre el origen de las imágenes, como informó primero KrebsOnSecurity. El ángulo del FBI acaparó los titulares, pero la historia de fondo es la infraestructura: los sistemas de verificación de identidad que sostienen los controles KYC se han convertido en uno de los objetivos más duraderos del comercio de datos en la darknet.
Lo que vendía Nexus
Las cifras anunciadas eran inusuales incluso para los estándares de la darknet: más de 153 millones de licencias de conducir de EE. UU. y Canadá, más de 10 millones de tarjetas de identidad, más de 3 millones de documentos de viaje o identificaciones internacionales y al menos 579.000 tarjetas médicas. Una búsqueda vacía devolvía alrededor de 11,5 millones de páginas de resultados, y el número de licencias creció casi 400.000 en un lapso de 24 horas mientras se investigaba la historia. El servicio se promocionó en el foro de ciberdelincuencia en ruso Exploit, con la propia licencia del periodista que destapó el caso ofrecida como muestra gratuita. Cada registro podía incluir seis archivos de imagen: el anverso y el reverso de la licencia con luz normal, más versiones en infrarrojos y ultravioleta de ambos, exactamente los formatos que buscan las comprobaciones automáticas de documentos. En el inventario había también tarjetas de dispensarios de marihuana junto a las licencias, algunas con anotaciones de origen como CDL o CAC. Las marcas de tiempo contaban su propia historia: quienes encontraron su propia licencia en Nexus pudieron asociarla a días concretos, una recogida de coche de alquiler en Hertz o una visita a un dispensario de Las Vegas, momentos en los que habían entregado su documento en un mostrador.La conexión con idscan.net
La pista llevaba a idscan.net, una empresa de verificación de identidad con sede en Luisiana cuyo sitio web enumera entre sus clientes marcas como Hertz, Target, FedEx, Motorola Solutions, Jack Henry y Caesars Entertainment. La compañía afirma gestionar más de 21 millones de verificaciones al mes en más de 20.000 ubicaciones, incluidos más de 1.000 dispensarios de marihuana en 19 estados de EE. UU. KrebsOnSecurity concluyó que los datos probablemente se sustrajeron de la plataforma. El 8 de septiembre, idscan.net publicó un aviso en el que señalaba que un tercero no autorizado podría haber accedido y copiado información de clientes, incluidos nombres completos y números de licencia de conducir u otros documentos de identidad oficiales, y que estaba notificando a las personas afectadas y ofreciendo protección crediticia. Caesars indicó que ya no era cliente desde febrero de 2025; el caso tuvo cobertura internacional, también del medio alemán Tarnkappe. La oficina del FBI en Nueva Orleans abrió una investigación oficial, y SecurityWeek informó de que algunas de las licencias aparentemente pertenecían a empleados del FBI. El Retail and Hospitality ISAC confirmó que el servicio desapareció poco después de los primeros informes, con su página de acceso sustituida por un mensaje lacónico: «Este servicio ya no está disponible». Lo que la cobertura no dice es qué fue de las copias ya vendidas. Un conjunto de datos de este tamaño no deja de existir simplemente porque lo haga una tienda.Por qué los escaneos de licencias son la mercancía más duradera del gremio
Las contraseñas robadas se rotan; las tarjetas robadas se reemiten. Una licencia de conducir es distinta: vincula un conjunto de datos prácticamente fijos —nombre completo, fecha de nacimiento, domicilio, número de licencia— a una fotografía, y nada de eso puede cambiarse de forma masiva tras una filtración. Un número de licencia acompaña a una persona durante décadas. Por eso son tan valiosos los escaneos de anverso y reverso capturados en luz visible, infrarrojos y ultravioleta: satisfacen tanto la parte humana como la máquina de la verificación de identidad. Un solo escaneo de alta calidad habilita varias líneas de ataque:- Síntesis de identidad. Los datos de la licencia se combinan bien con otros registros filtrados para abrir cuentas bancarias o de crédito, como señaló el investigador de Cybera Larry Baldwin tras encontrar su propio escaneo en Nexus.
- Superar la verificación de documentos. Las copias en infrarrojos y ultravioleta son justo lo que comprueban los sistemas KYC automáticos, así que un escaneo completo sostiene takeovers de cuentas y registros fraudulentos que una foto recortada no logra.
- Exposición física. Los registros incluyen fotografías, por lo que alimentan herramientas de reconocimiento de imágenes. Baldwin advirtió de que el conjunto de datos podría poner en peligro a personas que no pueden permitirse ser encontradas, desde víctimas de violencia doméstica hasta testigos trasladados.
- Ingeniería social. Un documento de identidad gubernamental real en manos de un atacante hace los intentos de suplantación mucho más convincentes.
Las organizaciones deberían diseñar sistemas de identidad asumiendo que la evidencia de identidad acabará comprometida. Un documento de aspecto genuino no puede seguir bastando como prueba de identidad de forma indefinida.El investigador de seguridad Zach Edwards, cuya propia licencia apareció en Nexus, sacó una conclusión más amplia: todo esquema que exija entregar la licencia de conducir a un tercero alimenta estos depósitos centralizados, y la supervisión de las empresas que custodian esos datos no ha seguido el ritmo de lo que almacenan.
Reducción de daños si su escaneo está en un vertedero de datos
IDScan.net afirma que está notificando a las personas afectadas y ofreciendo protección crediticia. Pero cualquiera que haya entregado una licencia en un mostrador de alquiler de coches, un dispensario o una recepción de hotel en Norteamérica tiene motivos para asumir que existe un escaneo en algún sitio. Nada de lo siguiente deshace una filtración; todo ello reduce lo que un comprador puede hacer con ella.- Congele su crédito en las principales agencias. Una licencia robada rinde mucho menos si no se puede abrir una línea de crédito a su nombre.
- Espere phishing dirigido. Los estafadores que citan su nombre real, su dirección y su número de licencia no están adivinando; trate esos mensajes como evidencia de compromiso.
- Pregunte antes de entregar nada. Si un documento puede comprobarse sin escanearse, fotografiarse ni retenerse es una pregunta razonable, y una que SecurityWeek recomienda plantear.
- Niéguese a completar el cuadro. Un atacante con su licencia presionará por las piezas que faltan: códigos, selfis, documentos adicionales. Eso puede rechazarlo.