FBI indaga su mega-breach da 153 milioni patenti, origine da…

L'FBI conferma un'indagine su un'enorme violazione dati che ha esposto oltre 153 milioni di scansioni di patenti e documenti d'identità statunitensi e canadesi. I

{"main_topic":"cybersecurity","topics":["cybersec","data-breach","identity-verification","cloud-security"]}

L'FBI conferma un'indagine su un'enorme violazione dati che ha esposto oltre 153 milioni di scansioni di patenti e documenti d'identità statunitensi e canadesi. I record sono in vendita su un forum criminale russo attraverso il servizio Nexus. Le tracce digitali — timestamp e metadata nei filename — puntano a IDScan.net, azienda di verifica identità con sede a New Orleans che gestisce oltre 21 milioni di verifiche mensili per clienti come Hertz, Target, FedEx e Caesars Entertainment.

Punti chiave

L'FBI sta indagando ufficialmente sull'incidente, come confermato dal portavoce del field office di New Orleans a Fox 8 il 6 settembre.
Oltre 153 milioni di patenti e documenti d'identità sono offerti in vendita sul servizio Nexus attraverso il forum criminale russo Exploit.
IDScan.net ha confermato accesso non autorizzato a dati clienti nel proprio cloud, ma non ha smentito la correlazione con l'esfiltrazione su Nexus.
I timestamp nei filename delle immagini esposte coincidono con date di scansioni effettuate tramite infrastrutture IDScan.net, incluso un caso verificato di noleggio Hertz e dispensary Planet13.

Come i timestamp hanno smascherato la filiera

La conferma più solida dell'origine non viene da una dichiarazione ufficiale, ma dalla forensa dei metadati. Il giornalista Brian Krebs ha verificato direttamente sul servizio Nexus che i filename delle immagini contengono timestamp che corrispondono a date precise in cui le patenti erano state scansionate attraverso sistemi IDScan.net. In un caso testato, una patente con data di scansione coincidente con un noleggio Hertz — cliente dell'azienda — risultava esposta nel database criminale.

La tecnologia è un altro elemento discriminante. I file includono immagini acquisite con scansione infrarossa e ultravioletta (IR/UV), modalità standard dei dispositivi IDScan.net per rilevare contraffazioni. Questa correlazione multipla — timestamp verificabili, eventi fisici associabili, stack tecnologico riconoscibile — costituisce la base forense su cui l'FBI ha aperto l'indagine.

Il servizio Nexus offre accesso a pagamento con preview redacted. Secondo la fonte, il database include oltre 170 milioni di persone del Nord America, con 10 milioni di identification cards oltre le patenti, 3 milioni di documenti di viaggio e internazionali, e 579.000 medical cards. L'operatore segnala di aver "esfiltrato continuativamente nuovi dati per oltre un anno", affermazione non verificata indipendentemente ma coerente con il dato misurato di un incremento di circa 400.000 record in sole 24 ore.

La risposta di IDScan.net e i contorni del breach

IDScan.net, con sede al 2045 Lakeshore Dr di New Orleans, ha rilasciato una dichiarazione ufficiale: "un unauthorized third party may have accessed and/or copied certain customer information stored within their accounts on the IDScan.net cloud". L'azienda offre monitoraggio credito gratuito e servizi di protezione identità ai clienti interessati.

"While the investigation is ongoing, IDScan.net has determined that an unauthorized third party may have accessed and/or copied certain customer information stored within their accounts on the IDScan.net cloud" — IDScan.net, dichiarazione ufficiale

I dati esposti includono nomi completi e numeri di patente o documenti governativi. L'azienda serve oltre 20.000 location worldwide, incluso un accordo esclusivo con Planet13 per le marijuana dispensary in 19 stati. Tra i clienti figurano anche Motorola e Caesars Entertainment. La dichiarazione aziendale non specifica il vettore di accesso iniziale, né se i dati fossero criptati a riposo nel cloud.

Figure governative nel mirino: il caso Hegseth

Il database esposto include documenti di figure di rilievo istituzionale. Pete Hegseth, attuale Defense Secretary, risulta tra le vittime identificate, insieme a un assistant FBI director. Il caso Hegseth, riportato da NBC News, evidenzia come la compromissione di un singolo vendor cloud per la verifica identità possa esporsi a rischi di targeting selettivo di funzionari governativi, nonostante i dati originino da scansioni private e non da database DMV statali.

La fonte non specifica se altre figure governative siano incluse nel dataset. L'identificazione di Hegseth è avvenuta attraverso ricerca nel servizio Nexus, non mediante conferma ufficiale del governo.

Perché è importante

Il dossier non specifica come l'attaccante abbia ottenuto accesso al cloud IDScan.net, né se l'azienda avesse implementato autenticazione multi-fattore o controlli di accesso adeguati. Il brief non documenta misure correttive tecniche specifiche oltre alla dichiarazione generica sull'indagine in corso.

Il pattern di crescita del database — circa 400.000 record in 24 ore — solleva interrogativi sulla completezza dell'interruzione dell'esfiltrazione. La fonte non verifica indipendentemente la claim degli operatori Nexus di esfiltrazione continuativa "per oltre un anno", né stabilisce una timeline precisa tra inizio compromissione e scoperta.

Il caso solleva inoltre questioni strutturali sulla supply chain della verifica identità: milioni di documenti governativi altamente sensibili transitano attraverso un ecosistema di vendor cloud privati, con sede in questo caso a New Orleans, senza che sia pubblico il livello di protezione applicato. L'assenza di un advisory strutturato da vendor di sicurezza o CERT rende difficile una valutazione indipendente della superficie di attacco.

Cosa la fonte non chiarisce

Restano non determinati: l'identità degli operatori di Nexus e il loro eventuale collegamento organico con il forum Exploit; se altre aziende oltre IDScan.net contribuiscano parzialmente al dataset; il numero esatto di individui unici compromessi rispetto ai record totali, che possono includere duplicati. Nessuna fonte nel dossier riporta sanzioni regolatorie avviate da state AG o FTC. L'FBI, contattata da KrebsOnSecurity, ha risposto: "At this point I'm not able to share any additional information, but the updates you have provided have been welcome, and helpful to our team's investigation".

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter