153 milhões de cópias digitais de cartas de condução à venda: o caso Nexus e o problema dos dados KYC
No início de setembro de 2026, um serviço da darknet chamado Nexus oferecia acesso pesquisável a cópias digitais de mais de 153 milhões de cartas de condução dos Estados Unidos e do Canadá, além de milhões de outros documentos de identidade. Em poucos dias, o gabinete do FBI em Nova Orleões abriu um inquérito oficial sobre a origem das imagens, conforme revelado em primeira mão pelo KrebsOnSecurity. O ângulo do FBI dominou os títulos, mas a história de fundo é sobre infraestrutura: os sistemas de verificação de identidade que sustentam os controlos KYC tornaram-se num dos alvos mais duradouros do comércio de dados na darknet.
O que o Nexus vendia
Os números anunciados eram invulgares mesmo para os padrões da darknet: mais de 153 milhões de cartas de condução dos EUA e do Canadá, mais de 10 milhões de cartões de identidade, mais de 3 milhões de documentos de viagem ou identificações internacionais e pelo menos 579.000 cartões médicos. Uma pesquisa vazia devolvia cerca de 11,5 milhões de páginas de resultados, e o número de cartas cresceu quase 400.000 num período de 24 horas enquanto a história era investigada. O serviço foi divulgado no fórum de cibercriminalidade em russo Exploit, com a própria carta de condução do jornalista que revelou o caso oferecida como amostra gratuita. Cada registo podia incluir seis ficheiros de imagem: a frente e o verso da carta à luz normal, mais versões em infravermelhos e ultravioleta de ambas, exatamente os formatos que as verificações automáticas de documentos procuram. No inventário havia também cartões de dispersárias de marijuana ao lado das cartas, alguns com anotações de origem como CDL ou CAC. Os carimbos temporais contavam a sua própria história: quem encontrou a própria carta no Nexus conseguiu associá-la a dias concretos, um aluguer de carro na Hertz ou uma visita a uma dispersária em Las Vegas, momentos em que tinham entregado o documento num balcão.A ligação à idscan.net
O rasto levava à idscan.net, uma empresa de verificação de identidade sediada na Luisiana cujo site enumera entre os clientes marcas como Hertz, Target, FedEx, Motorola Solutions, Jack Henry e Caesars Entertainment. A empresa afirma processar mais de 21 milhões de verificações por mês em mais de 20.000 locais, incluindo mais de 1.000 dispersárias de marijuana em 19 estados dos EUA. O KrebsOnSecurity concluiu que os dados provavelmente foram extraídos da plataforma. A 8 de setembro, a idscan.net publicou um aviso indicando que um terceiro não autorizado poderá ter acedido e copiado informação de clientes, incluindo nomes completos e números de carta de condução ou de outros documentos de identidade oficiais, e que estava a notificar as pessoas afetadas e a oferecer proteção de crédito. A Caesars declarou que já não é cliente desde fevereiro de 2025; o caso teve cobertura internacional, incluindo do veículo alemão Tarnkappe. O gabinete do FBI em Nova Orleões abriu um inquérito oficial, e o SecurityWeek reportou que algumas das cartas aparentemente pertenciam a funcionários do FBI. O Retail and Hospitality ISAC confirmou que o serviço desapareceu pouco depois dos primeiros relatos, com a página de login substituída por um aviso lacónico: «Este serviço já não está disponível». O que a cobertura não diz é o que aconteceu às cópias já vendidas. Um conjunto de dados desta dimensão não deixa simplesmente de existir porque uma loja feche.Porque é que as cópias de cartas de condução são a mercadoria mais duradoura deste comércio
Palavras-passe roubadas trocam-se; cartões roubados voltam a emitir-se. Uma carta de condução é diferente: liga um conjunto de dados praticamente imutáveis — nome completo, data de nascimento, morada, número da carta — a uma fotografia, e nada disso pode ser alterado em massa após uma fuga. Um número de carta acompanha uma pessoa durante décadas. É isso que torna tão valiosas as cópias da frente e do verso capturadas em luz visível, infravermelha e ultravioleta: satisfazem tanto o lado humano como o lado máquina da verificação de identidade. Uma única cópia digital de qualidade abre várias linhas de ataque:- Síntese de identidade. Os dados da carta combinam-se bem com outros registos vazados para abrir contas bancárias ou de crédito, como notou o investigador da Cybera Larry Baldwin depois de encontrar a sua própria cópia no Nexus.
- Contornar a verificação de documentos. As cópias em infravermelhos e ultravioleta são precisamente o que os sistemas KYC automáticos verificam, pelo que uma cópia completa suporta takeover de contas e registos fraudulentos que uma foto recortada não consegue.
- Exposição física. Os registos incluem fotografias e por isso alimentam ferramentas de reconhecimento de imagens. Baldwin avisou que o conjunto de dados poderia pôr em perigo pessoas que não se podem dar ao luxo de ser encontradas, de vítimas de violência doméstica a testemunhas realojadas.
- Engenharia social. Um documento de identidade governamental verdadeiro nas mãos de um atacante torna as tentativas de usurpação muito mais convincentes.
As organizações devem desenhar sistemas de identidade partindo do princípio de que as provas de identidade acabarão por ser comprometidas. Um documento de aparência genuína não pode manter-se indefinidamente como prova de identidade suficiente.O investigador de segurança Zach Edwards, cuja própria carta apareceu no Nexus, tirou uma conclusão mais ampla: qualquer esquema que exija entregar a carta de condução a um terceiro alimenta estes reservatórios centralizados, e a supervisão das empresas que detêm esses dados não acompanhou o volume que agora armazenam.
Redução de danos se a sua cópia andar a circular
A IDScan.net afirma estar a notificar as pessoas afetadas e a oferecer proteção de crédito. Mas qualquer pessoa que tenha entregado uma carta num balcão de aluguer de carros, numa dispersária ou na receção de um hotel na América do Norte tem razões para assumir que existe uma cópia algures. Nada do que se segue desfaz uma fuga; tudo isso limita o que um comprador pode fazer com ela.- Congele o crédito junto das principais agências. Uma carta roubada rende muito menos se não for possível abrir uma linha de crédito em seu nome.
- Espere phishing direcionado. Burlões que citam o seu nome verdadeiro, a sua morada e o número da carta não estão a adivinhar; trate essas mensagens como prova de comprometimento.
- Pergunte antes de entregar qualquer coisa. Saber se um documento pode ser verificado sem ser digitalizado, fotografado ou retido é uma pergunta legítima — e uma recomendação do SecurityWeek.
- Recuse completar o quadro. Um atacante com a sua carta vai exigir as peças em falta: códigos, selfies, documentos adicionais. Isso pode recusar.