153 milioni di scansioni di patenti in vendita: il caso Nexus e il problema dei dati KYC
All'inizio di settembre 2026, un servizio della darknet chiamato Nexus offriva l'accesso con motore di ricerca a scansioni di oltre 153 milioni di patenti di guida statunitensi e canadesi, oltre a milioni di altri documenti d'identità. Nel giro di pochi giorni, l'ufficio dell'FBI di New Orleans ha aperto un'indagine ufficiale sull'origine delle immagini, come rivelato per primo da KrebsOnSecurity. L'angolo FBI ha fatto titoli, ma la storia di fondo riguarda l'infrastruttura: i sistemi di verifica dell'identità su cui poggiano i controlli KYC sono diventati uno dei bersagli più duraturi del commercio di dati nella darknet.
Cosa vendeva Nexus
I numeri pubblicizzati erano insoliti perfino per gli standard della darknet: oltre 153 milioni di patenti statunitensi e canadesi, più di 10 milioni di carte d'identità, oltre 3 milioni di documenti di viaggio o documenti d'identità internazionali e almeno 579.000 tessere mediche. Una ricerca vuota restituiva circa 11,5 milioni di pagine di risultati, e il numero di patenti è cresciuto di quasi 400.000 in 24 ore mentre la storia veniva ricostruita. Il servizio era promosso sul forum di cybercriminalità in lingua russa Exploit, con la patente dello stesso giornalista che ha rivelato il caso offerta come campione gratuito. Ogni scheda poteva includere sei file immagine: fronte e retro della patente a luce normale, più le versioni a infrarossi e ultravioletti di entrambi, esattamente i formati che i controlli automatici dei documenti cercano. Nell'inventario, accanto alle patenti, c'erano anche tessere di dispensari di marijuana, alcune con note sulla fonte come CDL o CAC. I timestamp raccontavano la loro storia: chi ha ritrovato la propria patente in Nexus è riuscito a ricondurla a giorni precisi, un noleggio Hertz o una visita a un dispensario di Las Vegas, momenti in cui aveva consegnato il documento a un impiegato.Il collegamento con idscan.net
La pista portava a idscan.net, una società di verifica dell'identità con sede in Louisiana il cui sito elenca tra i clienti marchi come Hertz, Target, FedEx, Motorola Solutions, Jack Henry e Caesars Entertainment. L'azienda dichiara di gestire oltre 21 milioni di verifiche al mese in più di 20.000 punti, tra cui oltre 1.000 dispensari di marijuana in 19 stati USA. KrebsOnSecurity ha concluso che i dati provenivano con ogni probabilità dalla piattaforma. L'8 settembre idscan.net ha pubblicato un avviso in cui dichiara che un terzo non autorizzato potrebbe aver avuto accesso a informazioni dei clienti e copiarle, inclusi nomi completi e numeri di patente o di altri documenti d'identità ufficiali, e che sta notificando gli interessati offrendo protezione creditizia. Caesars ha dichiarato di non essere cliente dal febbraio 2025; il caso ha avuto copertura internazionale, anche sul medio tedesco Tarnkappe. L'ufficio dell'FBI di New Orleans ha aperto un'indagine ufficiale, e SecurityWeek ha riferito che alcune delle patenti apparentemente appartenevano a dipendenti dell'FBI. Il Retail and Hospitality ISAC ha confermato che il servizio è scomparso poco dopo le prime segnalazioni, con la pagina di accesso sostituita da un messaggio laconico: «Questo servizio non è più disponibile». Quello che la copertura non dice è cosa è successo alle copie già vendute. Un archivio dati di queste dimensioni non cessa di esistere solo perché chiude un negozio.Perché le scansioni di patenti sono la merce più duratura di questo commercio
Le password rubate si ruotano; le carte rubate si riemettono. Una patente è diversa: lega un insieme di dati sostanzialmente fissi — nome completo, data di nascita, indirizzo, numero di patente — a una fotografia, e nulla di tutto ciò può essere modificato in blocco dopo una fuga. Un numero di patente accompagna una persona per decenni. È questo che rende preziose le scansioni di fronte e retro acquisite in luce visibile, infrarossa e ultravioletta: superano sia il versante umano sia quello automatico della verifica dell'identità. Una singola scansione di qualità apre più linee d'attacco:- Sintesi dell'identità. I dati della patente si combinano bene con altri archivi trapelati per aprire conti bancari o di credito, come ha notato il ricercatore di Cybera Larry Baldwin dopo aver ritrovato la propria scansione su Nexus.
- Superare la verifica documentale. Le copie a infrarossi e ultravioletti sono esattamente ciò che i sistemi KYC automatici controllano: una scansione completa può quindi sostenere account takeover e registrazioni fraudolente che una foto ritagliata non consente.
- Esposizione fisica. Le schede contengono fotografie e alimentano quindi strumenti di riconoscimento delle immagini. Baldwin ha avvertito che l'archivio poteva mettere in pericolo persone che non possono permettersi di essere ritrovate, dalle vittime di violenza domestica ai testimoni trasferiti.
- Ingegneria sociale. Un documento d'identità governativo autentico in mano a un attaccante rende i tentativi di impersonazione molto più convincenti.
Le organizzazioni dovrebbero progettare i sistemi di identità partendo dal presupposto che le prove di identità prima o poi verranno compromesse. Un documento dall'aspetto autentico non può restare a tempo indeterminato una prova d'identità sufficiente.Il ricercatore di sicurezza Zach Edwards, la cui stessa patente è comparsa su Nexus, ha tratto una conclusione più ampia: ogni schema che obbliga le persone a consegnare la patente a un servizio di terzi alimenta questi serbatoi centralizzati, e la supervisione sulle aziende che custodiscono questi dati non tiene il passo con quanto ne archiviano.
Limitare i danni se la vostra scansione è in circolazione
IDScan.net dichiara di stare notificando gli interessati e di offrire protezione creditizia. Ma chiunque abbia consegnato una patente a un banco di noleggio, a un dispensario o alla reception di un hotel in Nord America ha motivo di ritenere che una scansione esista da qualche parte. Nulla di quanto segue annulla una fuga; tutto ciò limita ciò che un acquirente può farci.- Bloccate il credito presso i principali bureaus. Una patente rubata rende molto meno se non si può aprire una linea di credito a vostro nome.
- Aspettatevi phishing mirato. I truffatori che citano il vostro nome vero, il vostro indirizzo e il numero di patente non stanno indovinando; trattate questi messaggi come prova di compromissione.
- Chiedete prima di consegnare qualcosa. Sapere se un documento può essere controllato senza essere scansionato, fotografato o trattenuto è una domanda legittima, e una raccomandazione di SecurityWeek.
- Rifiutate di completare il quadro. Un attaccante con la vostra patente chiederà i pezzi mancanti: codici, selfie, documenti aggiuntivi. Quelli potete negarli.