El Buró Federal de Investigaciones (FBI) abrió una investigación oficial para esclarecer el origen de una masiva filtración de documentos de identidad que ha puesto a la venta más de 153 millones de permisos de conducir y otros documentos personales de ciudadanos estadounidenses y canadienses en un servicio clandestino de la dark web llamado Nexus. Se trata, según los expertos, de una de las mayores brechas de datos de identidad conocidas hasta la fecha.
El caso fue destapado esta semana por el periodista independiente de ciberseguridad Brian Krebs, fundador de KrebsOnSecurity, quien confirmó en primera persona la autenticidad de los datos al descubrir que su propio permiso de conducir de Virginia figuraba entre los registros disponibles en Nexus. El periodista señaló que el operador del servicio llegó incluso a ofrecer su licencia como muestra gratuita en un foro de ciberdelincuencia en lengua rusa llamado Exploit.
Nexus, que se presentó públicamente el pasado 31 de agosto, asegura disponer de más de 153 millones de permisos de conducir de Estados Unidos y Canadá, más de 10 millones de tarjetas de identificación, alrededor de tres millones de documentos de viaje e identificaciones internacionales, y al menos 579,000 tarjetas médicas. Además, según Krebs, la base de datos crece a un ritmo aproximado de 400,000 nuevos registros diarios, lo que sugiere que los atacantes mantienen acceso casi en tiempo real a los sistemas comprometidos.
La pesquisa periodística, realizada en colaboración con el investigador de seguridad Zach Edwards —cuya propia documentación también aparece en la base de datos—, apunta a que la fuente de la filtración sería la empresa IDScan, un servicio de verificación de identidad con sede en Luisiana, utilizado por importantes compañías tecnológicas y marcas de consumo para validar millones de identificaciones cada mes. El medio TechCrunch contactó al director de operaciones de IDScan, Jillain Kossman, quien se limitó a confirmar que la compañía estaba investigando lo ocurrido. Por su parte, el director ejecutivo Jimmy Roussel no respondió a las solicitudes de prensa, y el FBI tampoco emitió comentarios públicos al respecto.
El servicio Nexus incluye imágenes de alta calidad de los documentos, con versiones en infrarrojo y ultravioleta, junto con marcas de tiempo que permitirían rastrear el momento exacto en que se escanearon los identificativos. Krebs verificó esta información con familiares y amigos, comprobando que las fechas coincidían con viajes reales en avión o alquileres de vehículos de las personas afectadas. Entre los registros también figuran tarjetas de acceso a dispensarios de marihuana y credenciales CAC, usadas para acceder a edificios gubernamentales e instalaciones seguras.
La gravedad del incidente se ve acentuada por la presencia, entre los documentos filtrados, de la identificación del Secretario de Defensa de Estados Unidos, Pete Hegseth, un dato que el Departamento de Defensa no ha querido confirmar ni desmentir.
Este caso reaviva el debate sobre los riesgos del creciente uso de sistemas de verificación de edad e identidad digital, una práctica impulsada por nuevas legislaciones en distintos países que obligan a los usuarios a subir documentos oficiales para acceder a determinados servicios en línea. Expertos en ciberseguridad y defensores de la privacidad llevan años advirtiendo que la acumulación masiva de datos de identidad por parte de empresas privadas convierte a estas compañías en objetivos prioritarios para los ciberdelincuentes.
Nexus dejó de estar operativo poco después de la publicación del reportaje de Krebs, aunque los especialistas consultados coinciden en que los datos ya extraídos seguirán circulando en mercados clandestinos durante años. La investigación del FBI, en coordinación con su oficina de campo en Nueva Orleans, busca ahora determinar el alcance real de la brecha y si IDScan u otras empresas del sector habrían podido ser víctimas de un ataque prolongado, de más de un año de duración según las afirmaciones de los propios operadores de Nexus.