Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.
Il 31 agosto 2026 una piattaforma dark web denominata Nexus ha pubblicato sui forum russoci Exploit un database che rivendica 153 milioni di patenti di guida statunitensi e canadesi, 10 milioni di ID card e 3 milioni di documenti di viaggio. I record includono scansioni fronte/retro in imaging base, infrarosso e ultravioletto, con timestamp che corrispondono a noleggi auto e accessi a dispensari di marijuana. Un'indagine dell'FBI field office di New Orleans è in corso, e il vendor IDScan.net ha confermato di stare "investigating the matter".
- Nexus rivendica 153 milioni di patenti di guida USA e Canada, con un incremento di circa 400.000 record in 24 ore che indica raccolta continua dei dati.
- KrebsOnSecurity ha verificato empiricamente 9 individui su 15 contattati: i timestamp nei record corrispondono a eventi reali come noleggi Hertz e visite al dispensario Planet13.
- Le scansioni includono imaging multi-spettrale (infrarosso/ultravioletto) con tecnologia documentata esclusivamente sui dispositivi IDScan.net, che ha confermato un'indagine interna.
- L'FBI field office di New Orleans ha aperto un'inchiesta ufficiale; IDScan.net non ha rilasciato un comunicato completo sul vettore della compromissione.
Come funziona Nexus e perché i numeri sono verificabili
Nexus monetizza l'accesso con un modello a preview: il compratore può visualizzare il record con i dati sensibili redatti, incluse le foto del titolare quando disponibili. La verifica empirica condotta da KrebsOnSecurity ha superato il semplice matching di identità. I 9 soggetti confermati su 15 contattati presentano timestamp che collimano con eventi documentati nei loro itinerari di viaggio.
Un campione mostra timezone GMT associati a transazioni Hertz e ingressi presso Planet13, catena di dispensari con cui IDScan.net detiene un accordo esclusivo. La struttura dei record è uniforme: 6 file per documento, con imaging fronte/retro in base, infrarosso e ultravioletto. Questa triplicazione spettrale non è standard dei lettori generici di documenti, ma è tecnologia documentata nei materiali commerciali di IDScan.net.
Il volume complessivo è stimabile attraverso la funzione di ricerca vuota della piattaforma: restituisce circa 11,5 milioni di pagine con circa 15 risultati ciascuna. I soli record per l'Ontario ammontano a circa 473.673 risultati. Il dato di 153 milioni deriva dalla dichiarazione del venditore e dal calcolo induttivo di KrebsOnSecurity, non da una verifica esaustiva dell'intero dataset.
La catena IDScan.net: 21 milioni di verifiche al mese, nessuna regolamentazione da istituto di credito
IDScan.net processa oltre 21 milioni di verifiche d'identità mensili, con una rete di oltre 20.000 location globali e più di 1.000 dispensari di marijuana in 19 stati USA. La clientela include Fortune 500 come Hertz, Target, FedEx e Caesars Entertainment. Il modello operativo è B2B: il vendor fornisce hardware e software di scansione ai punti di servizio, che raccolgono i documenti per finalità di age verification e compliance.
La ricerca di KrebsOnSecurity ha escluso sistematicamente aeroporti e controlli di sicurezza aerea come fonte primaria. Nel dataset non compaiono passaporti, e alcuni soggetti verificati avevano mostrato la patente esclusivamente in contesti terzi — noleggio auto, dispensari, hotel — mai alla TSA. Questa correlazione negativa rafforza l'ipotesi che il punto di raccolta sia nella catena di verifica commerciale piuttosto che in quella governativa.
Il meccanismo tecnico di raccolta è passivo: i dispositivi acquisiscono scansioni complete durante operazioni di routine, apparentemente conservate o replicabili dal vendor centrale. Non è confermato se i timestamp GMT siano generati a livello di dispositivo o aggregati in un sistema centrale, né se il punto di fallimento risieda in IDScan.net, in un cliente specifico o in un integratore della catena.
Perché è importante
Il dossier non documenta misure correttive specifiche né un perimetro tecnico definito della compromissione. IDScan.net, attraverso la marketing and operations leader Jillian Kossman, ha limitato la risposta a una conferma verbale di indagine interna: "At this point I'm not able to share any additional information, but the updates you have provided have been welcome, and helpful to our team's investigation".
Il brief non specifica la natura dei dati esposti oltre alle immagini documentali. Non è noto se il dataset includa metadati di geolocalizzazione, log di transazione o correlazioni tra timestamp e identità. Il dossier non documenta inoltre il vettore di accesso iniziale — API esposta, credenziali compromesse, supply chain o insider — né ha determinato se i 153 milioni di record siano tutti unici o includano duplicati e rinnovi.
La permanenza dei dati è un vincolo strutturale: la patente di guida non è "resettabile" come una password. Una volta esposta, la compromissione è permanente per il titolare, che non può revocare il documento né modificarne i numeri di serie, le caratteristiche biometriche o i codici a barre. Questo asimmetria tra raccolta commerciale e tutela individuale è il nucleo del rischio che l'incidente espone.
Chi è nel database e cosa dice l'FBI
Tra i record verificati figura quello di Pete Hegseth, attuale US Defense Secretary. La presenza di figure governative di rilievo nel campione verificato accentua la rilevanza istituzionale dell'incidente, anche se non ne altera la natura tecnica. L'FBI field office di New Orleans ha confermato a KrebsOnSecurity di aver "launched an official inquiry", senza dettagliare lo stato avanzamento o gli ambiti giurisdizionali coinvolti.
Nexus ha dichiarato nei propri post su Exploit: "We have been continuously exfiltrating new data for over a year into our private database". L'incremento di circa 400.000 record in 24 ore, verificato da KrebsOnSecurity attraverso osservazione diretta della piattaforma, corrobore la dichiarazione di esfiltrazione continua. Il venditore offre inoltre preview redacted con foto del titolare quando disponibili: "Records are available to preview before purchase with pertinent information redacted. Customer photos are displayed if available".
"At this point I'm not able to share any additional information, but the updates you have provided have been welcome, and helpful to our team's investigation"
— Jillian Kossman, IDScan.net
Domande frequenti
Perché l'indirizzo GMT nei timestamp è significativo?
I timestamp in timezone GMT corrispondono a eventi reali verificati dai soggetti coinvolti, ma non è confermato se siano generati dai dispositivi IDScan.net o dai sistemi dei clienti. La coerenza con noleggi Hertz e accessi Planet13 supporta l'ipotesi di una raccolta centralizzata nella catena del vendor.
IDScan.net ha confermato di essere stato violato?
No. IDScan.net ha confermato soltanto di stare "investigating the matter". Il dossier non stabilisce se il punto di fallimento sia nel vendor, in un cliente specifico o in un integratore, né documenta il vettore di accesso iniziale.
I 153 milioni di record sono tutti verificati?
No. Il numero deriva dalla rivendicazione di Nexus ed è parzialmente verificabile attraverso la funzione di ricerca vuota della piattaforma. KrebsOnSecurity ha confermato empiricamente 9 individui su 15 contattati, con corrispondenza dei timestamp a eventi reali. Non è determinato se il totale includa duplicati o rinnovi.
L'incidente solleva una questione di governance più ampia: i sistemi di age verification per servizi ordinari — un noleggio auto, un ingresso a un dispensario — costruiscono archivi governativi di facciata che operano al di fuori delle regolamentazioni previste per le istituzioni pubbliche. La convenienza del controllo immediato si traduce in una conservazione documentale centralizzata, gestita da vendor privati senza gli standard di protezione dei dati biometrici che si applicherebbero a un database governativo equivalente. La differenza è normativa, non tecnica: il rischio è identico, la tutela non lo è.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Fonti
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.