FBI investiga serviço na dark web que vende mais de 153 milhões de carteiras de motorista roubadas
Um serviço batizado de 'Nexus' passou a vender na dark web digitalizações de mais de 153 milhões de carteiras de motorista de cidadãos dos EUA e Canadá, além de milhões de outros documentos de identidade e cartões médicos. O jornalista Brian Krebs rastreou a origem dos dados até a IDScan.net, empresa de verificação de identidade usada por locadoras de veículos, varejistas e cassinos, levando o FBI a abrir investigação formal. O vazamento expõe milhões de pessoas — incluindo autoridades públicas — a fraude de abertura de crédito e outros golpes de identidade.
Na última semana de agosto de 2026, um novo serviço no submundo digital chamado Nexus começou a comercializar acesso a digitalizações de carteiras de motorista de mais de 153 milhões de pessoas nos Estados Unidos e Canadá, somadas a mais de 10 milhões de outros documentos de identidade, 3 milhões de documentos de viagem e cerca de 579 mil cartões médicos. O operador do serviço afirmou estar extraindo novos registros continuamente há mais de um ano, com cerca de 400 mil documentos novos adicionados em apenas 24 horas. A investigação do jornalista Brian Krebs conseguiu correlacionar timestamps presentes nos arquivos vazados com o momento exato em que vítimas reais realizaram transações — sobretudo aluguéis de veículo — apontando a IDScan.net, empresa de verificação de identidade de Nova Orleans, como a fonte provável do vazamento. A companhia presta serviço de checagem documental para nomes como Hertz, Target, FedEx, Caesars Entertainment e Jack Henry.
O golpe por trás do vazamento é a fraude de identidade clássica turbinada por escala industrial: como as empresas de verificação capturam a imagem da carteira de motorista em alta resolução — inclusive em luz infravermelha e ultravioleta, usadas para detectar falsificações — o material vazado é praticamente equivalente ao documento físico original. Isso é exatamente o que instituições financeiras, operadoras de telefonia e fintechs pedem para abrir uma conta ou liberar crédito, o que torna essas imagens matéria-prima ideal para abertura fraudulenta de contas, portabilidade numérica indevida (SIM swap) e criação de identidades sintéticas. O caso ainda expõe um risco pouco discutido: os registros vazados continham Common Access Cards (CAC), credenciais usadas para acesso físico a instalações governamentais nos EUA, e afetaram pessoas sob proteção de testemunhas — hoje rastreáveis por ferramentas de reconhecimento facial baseadas em IA mesmo após mudança de aparência.
A reação em cadeia após a publicação da reportagem mostra como esse tipo de exposição é tratado quando vem à tona: o FBI abriu inquérito formal pelo escritório de Nova Orleans, a IDScan.net reconheceu a investigação e ativou resposta a incidente, e o serviço Nexus saiu do ar horas depois, substituído por uma mensagem de indisponibilidade — um padrão comum de operadores que buscam evitar rastreamento após exposição pública, sem que isso indique necessariamente que os dados já vazados deixem de circular.
Para quem foi potencialmente afetado, a resposta prática passa por congelar o CPF/crédito junto aos birôs, ativar alertas de abertura de novas contas e desconfiar de qualquer contato não solicitado pedindo 'confirmação' de dados após esse tipo de vazamento — um vetor clássico de phishing subsequente. Para empresas que dependem de verificação documental de terceiros, o episódio reforça a necessidade de auditar continuamente o acesso e a retenção de dados por fornecedores de KYC, já que a cadeia de verificação de identidade é, ela mesma, um alvo de altíssimo valor para fraudadores — quando um único fornecedor concentra dados de múltiplos clientes, sua falha se propaga para todo o ecossistema que confiava nele.