IDScan conferma breach: 153 milioni di patenti in vendita sul dark web

Il 4 settembre 2026 IDScan.net ha pubblicato una notifica di violazione che conferma quanto Brian Krebs aveva documentato tre giorni prima: un soggetto non autorizzato ha avuto accesso a informazioni di clienti conservate sulla piattaforma cloud dell'azienda, incluse patenti di guida e documenti governativi. La notifica arriva dopo che Krebs, fondatore di KrebsOnSecurity, aveva già verificato con campioni propri e di volontari che i record messi in vendita sul servizio dark web "Nexus" corrispondevano a transazioni reali — noleggi auto, visite a dispensary — con timestamp che ricostruivano la catena di custodia fino a IDScan.

L'azienda afferma di aver appreso della violazione "on or around September 1, 2026", lo stesso giorno della pubblicazione dell'indagine di Krebs. Il servizio Nexus, intanto, è scomparso dal dark web poche ore dopo lo scoop.

Come il timestamp ha ricostruito la catena di custodia

La prova decisiva non è stata tecnica in senso stretto, ma forense. Krebs ha scoperto che ogni immagine di documento nel database Nexus portava un timestamp preciso: la sua patente Virginia risaliva a una data di giugno 2025, identica a quella di un noleggio Hertz. La patente della madre aveva lo stesso timestamp, coincidente con lo stesso noleggio. IDScan.net è fornitore di Hertz per la verifica documentale; il nodo è chiuso.

Altrettanto determinante è stata la verifica su Zach Edwards, ricercatore di sicurezza che aveva visitato un dispensary Planet13 a Las Vegas nell'agosto 2025. La sua patente nel database Nexus riportava quel mese. IDScan.net detiene il contratto esclusivo con Planet13 per la verifica età all'ingresso. Krebs ha trovato corrispondenze in 9 casi su 15 volontari, con transazioni riconducibili a date e luoghi specifici.

Le immagini non erano scansioni banali: includevano bande multispettrali — visibile, infrarosso, ultravioletto — come documentato nelle specifiche tecniche di IDScan.net. Questo livello di dettaglio rende i documenti particolarmente appetibili per frodi d'identità sofisticate e per la generazione di deepfake documentali.

"Questo dataset continuerà ad avere un valore immenso per la comunità criminale per molti anni" — Brian Krebs, a TIME

Il flusso continuo: cosa dice Nexus sull'exfiltrazione

Un post attribuito a Nexus sul forum Exploit, riportato da Krebs, afferma: "We have been continuously exfiltrating new data for over a year into our private database". L'affermazione trova supporto osservazionale nell'incremento di circa 400.000 record di patenti registrato da Krebs in un arco di 24 ore durante la sua indagine. Il servizio offriva anteprime con informazioni parzialmente redatte, ma con foto del cliente "se disponibili".

Il claim di 153 milioni di patenti proviene dal marketplace stesso, non da un conteggio indipendente. Nexus dichiarava inoltre che il database interessasse circa 170 milioni di persone in Nord America, con 1,1 milione di sole patenti canadesi — 473.673 dall'Ontario. Una ricerca vuota sul servizio restituiva circa 11,5 milioni di pagine di risultati, con una stima di 15 risultati per pagina. Questi numeri non sono stati verificati autonomamente dalle fonti giornalistiche.

La risposta di IDScan: conferma tardiva e oscuramento della notifica

La notifica ufficiale di IDScan.net, pubblicata il 4 settembre, contiene una formula cautelativa: "an unauthorized third party may have accessed and/or copied certain customer information". L'azienda offre monitoraggio del credito gratuito agli individui potenzialmente colpiti. Tuttavia, come rilevato da BleepingComputer e The Record, la pagina di notifica è stata contrassegnata con direttiva noindex, rendendola de facto invisibile ai motori di ricerca.

Il timing è significativo: IDScan afferma di aver appreso della violazione il 1 settembre, ma KrebsOnSecurity aveva già contattato l'azienda prima della pubblicazione, ricevendo da Jillian Kossman, rappresentante di IDScan, la conferma che gli "aggiornamenti forniti sono stati graditi e utili per l'indagine del team". La notifica ufficiale è arrivata dopo lo scoop giornalistico.

Il FBI field office di New Orleans ha aperto un'indagine ufficiale, come confermato da TIME con fonte FBI e riportato da KrebsOnSecurity e BleepingComputer. Almeno 4-5 class action erano state intentate entro il 7 settembre 2026, secondo Tech-Insider e StartupFortune.

Perche è importante

Il dossier non specifica il vettore di accesso iniziale né la root cause tecnica della violazione. Non emerge se IDScan.net conservasse le immagini scansionate in chiaro o cifrate, né quali controlli di accesso fossero in vigore sulla piattaforma cloud. La durata effettiva dell'exfiltrazione — "oltre un anno" secondo Nexus — non è verificata indipendentemente.

La fonte non documenta azioni regolatorie specifiche in corso da parte di FTC o procuratori generali statali. Non è noto se i dati siano stati effettivamente venduti o pagati prima della scomparsa di Nexus dal dark web. L'identità degli operatori del servizio rimane ignota.

Il brief non elenca misure correttive tecniche adottate da IDScan.net dopo la scoperta, né procedure di retention minimization preventivamente in vigore. Il numero esatto di individui unici coinvolti è indeterminato: i 153 milioni di patenti possono includere duplicati, varianti di immagine dello stesso documento, o ID scaduti.

Cosa resta: un mercato di documenti governativi senza revoca possibile

Il problema strutturale supera di molto il singolo incidente. Una patente di guida compromessa non può essere "revocata" come una carta di credito: resta valida fino alla scadenza naturale, e il numero identificativo permane. Le immagini multispettrali conservate da IDScan.net — che l'azienda elabora per 21 milioni di verifiche mensili in 20.000 location — costituiscono un tesoro per la frode sintetica.

Per le aziende downstream — Hertz, Target, FedEx, le oltre 1.000 dispensary di marijuana in 19 stati — il caso solleva questioni di vendor risk assessment che il brief non approfondisce: chi controlla come un processor terzo conserva i "crown jewel" della catena di identità? Il timestamp, in questo caso, ha fatto luce. Ma senza l'indagine giornalistica, la violazione sarebbe rimasta nel buio della supply chain.

Fonti

• https://www.helpnetsecurity.com/2026/09/11/idscan-net-data-breach-153-million-drivers-licenses/
• https://www.bleepingcomputer.com/news/security/idscan-confirms-breach-tied-to-153-million-stolen-drivers-licenses/
• https://therecord.media/idscan-data-breach-notice-drivers-licenses
• https://krebsonsecurity.com/2026/09/fbi-probes-service-selling-153m-drivers-licenses/
• https://www.schneier.com/blog/archives/2026/09/drivers-license-data-for-sale.html
• https://time.com/article/2026/09/03/fbi-probes-reported-dark-web-drivers-license-breach/
• https://tech-insider.org/idscan-breach-kyc-vendor-risk-reckoning-2026/
• https://startupfortune.com/idscan-breach-exposes-153-million-drivers-licenses-tied-to-hertz-and-target/
• https://www.helpnetsecurity.com/2025/03/26/how-dark-web-works/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti