IDScan.net: 153 milioni di patenti in vendita, FBI indaga

Il 1° settembre 2026, mentre IDScan.net iniziava a notificare alcuni clienti business, il servizio dark web "Nexus" vendeva già da tempo oltre 153 milioni di scansioni di patenti di guida statunitensi e canadesi. Brian Krebs ha verificato direttamente la presenza della propria patente nel database, con timestamp che corrispondevano a un noleggio Hertz. Il FBI, ufficio di New Orleans, ha confermato di indagare sull'incidente. Almeno quattro cause class-action sono state depositate nel tribunale federale per il distretto orientale della Louisiana.

Il tracciamento che inchioda il fornitore

La verifica non è stata teorica. Krebs ha cercato la propria patente nel database Nexus e l'ha trovata, con un timestamp che coincideva esattamente con il noleggio di un veicolo Hertz. Hertz risulta tra i clienti di IDScan.net, insieme a Target, FedEx, Motorola Solutions, Jack Henry, Caesars Entertainment e Planet13. Quest'ultimo, un dispensario di cannabis nel Nevada, ha un contratto esclusivo con IDScan.net per la verifica età dei clienti: un campione verificato da Krebs proveniva proprio da quella catena.

I file non sono semplici fotografie. Sono scansioni IR/UV, infrarosso e ultravioletto, del tipo documentato nei materiali commerciali di IDScan.net. Questo livello di dettaglio rende i documenti significativamente più pericolosi di un numero di patente testuale: espone elementi di sicurezza del documento, tracce di alterazioni, e metadati di scansione che possono facilitare la falsificazione o l'uso in frodi di identità strutturate.

Zach Edwards, ricercatore di sicurezza il cui campione è stato trovato nel database, ha contribuito a rafforzare la catena di provenienza. Il suo ruolo in questo specifico incidente si limita alla verifica del proprio documento: non è fonte primaria della segnalazione del breach, ma un punto di controllo indipendente nella ricostruzione di Krebs.

I numeri del mercato nero e la crescita in tempo reale

Nexus ha dichiarato di esfiltrare dati "per oltre un anno" in un database privato, secondo il post introduttivo su forum Exploit citato da KrebsOnSecurity. Al momento della pubblicazione dell'inchiesta, il servizio contava oltre 153 milioni di patenti di guida, 10 milioni di carte d'identità, 3 milioni di documenti di viaggio e 579.000 carte mediche. BleepingComputer riporta la stessa cifra per le patenti; Malwarebytes conferma le categorie aggregate.

Un dato particolarmente disturbante: nelle 24 ore successive alla pubblicazione della notizia, il conteggio delle patenti è aumentato di circa 400.000 unità. Questo incremento suggerisce un feed attivo o un rilascio graduale da parte del venditore, anche se il dossier non permette di stabilire con certezza se si tratti di esfiltrazione in tempo reale o di strategia di merchandising del dato rubato.

IDScan.net, secondo i propri materiali commerciali citati da Krebs, processa circa 21 milioni di verifiche d'identità al mese in oltre 20.000 location worldwide. La superficie di raccolta è massiva: oltre 1.000 dispensari di cannabis in 19 stati americani, oltre ai network di noleggio auto, logistica e hospitality. Nessuno di questi numeri è stato contestato dalle fonti disponibili.

"We have been continuously exfiltrating new data for over a year into our private database" — Nexus, post su forum Exploit

L'indagine FBI e le cause class-action

L'ufficio FBI di New Orleans ha confermato a BleepingComputer e a TIME di indagare sull'incidente. "The agency has also confirmed for BleepingComputer that it is looking into the incident. However, the FBI declined any further comment due to the ongoing nature of the investigation", riporta testualmente la testata specializzata. TIME aggiunge che Brian Krebs ha commentato: "This data set will continue to have massive value to the cybercriminal community for many years, and we are likely to see this service or one very similar appear again on the darknet".

Parallelamente, almeno quattro cause class-action sono state depositate presso il tribunale federale per il distretto orientale della Louisiana. I firmatari includono gli studi legali Markovits, Stock & DeMarco e Hall Attorneys, secondo BleepingComputer e shattered.io. Il sito shattered.io, che aggrega informazioni con riferimenti a ClassAction.org, riporta che le azioni legali coinvolgono consumatori che non hanno mai interagito direttamente con IDScan.net, ma hanno mostrato la patente a un'entità che utilizzava la sua tecnologia.

Questo è il nodo legale centrale: la responsabilità nella catena di supply chain dei dati personali. I consumatori non hanno scelto IDScan.net, non hanno firmato un contratto con l'azienda, spesso ignorano la sua esistenza. Eppure i loro documenti governativi, con timestamp di attività reali, risiedevano in un database che almeno un gruppo criminale ha potuto sfruttare per oltre dodici mesi.

Perché è importante

Il caso IDScan.net esemplifica un'architettura di rischio sistemico poco visibile: i vendor centralizzati di verifica identità che operano come infrastruttura critica nascosta. Un consumatore che noleggia un'auto o entra in un dispensario di cannabis non percepisce di consegnare il proprio documento a una catena di terze parti con conservazione centralizzata e potenziale esposizione dark web.

Il dossier non specifica il vettore tecnico di intrusione nei sistemi IDScan.net, né la natura esatta dell'accesso non autorizzato: backend, pipeline di dati, o entrambi. IDScan.net non ha confermato pubblicamente la breach; l'unica risposta ufficiale documentata è quella di Jillian Kossman, che a KrebsOnSecurity ha dichiarato: "At this point I'm not able to share any additional information, but the updates you have provided have been welcome, and helpful to our team's investigation".

Non è chiaro se i timestamp siano effettivamente in GMT come ipotizzato da Krebs, né se la crescita di 400.000 record indicasse un feed live o un rilascio strategico. Il numero esatto di individui effettivamente impattati resta indeterminato: possibili duplicati, documenti scaduti e dati di test inficiano qualsiasi conteggio preciso. Il servizio Nexus non è più online, ma BleepingComputer riferisce che i criminali avrebbero ancora accesso al database.

Le scansioni IR/UV, con timestamp e metadati di localizzazione impliciti, costituiscono un profilo d'identità più ricco e più pericoloso di quanto le breach tradizionali esporrebbero. La combinazione di documento governativo, attività verificata nel tempo, e tecnologia di scansione avanzata crea un kit d'identità che supera di gran lunga la semplice clonazione numerica.

L'escalation regolatoria — indagine FBI, quattro cause federali, esperti esterni come l'Identity Theft Resource Center citati da TIME — segnala che il settore della verifica identità potrebbe affrontare una ridefinizione delle normative su conservazione e minimizzazione dei dati. Per ora, il dossier non documenta misure correttive specifiche da parte di IDScan.net né linee guindi per gli utenti finali.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://www.bleepingcomputer.com/news/security/idscan-sued-over-alleged-data-breach-affecting-153-million-drivers/
• https://krebsonsecurity.com/2026/09/fbi-probes-service-selling-153m-drivers-licenses/
• https://www.malwarebytes.com/blog/news/2026/09/dark-web-site-puts-153-million-drivers-licenses-and-millions-more-ids-up-for-sale
• https://we-fix-pc.com/2026/09/04/idscan-sued-over-alleged-data-breach-affecting-153-million-drivers/
• https://www.hendryadrian.com/idscan-sued-over-alleged-data-breach-affecting-153-million-drivers/
• https://time.com/article/2026/09/03/fbi-probes-reported-dark-web-drivers-license-breach/
• https://shattered.io/fbi-idscan-net-breach-4-lawsuits-2026/
• https://krebsonsecurity.com/2026/08/whos-tracking-you-use-this-new-service-to-find-out/