Serviço Nexus na dark web vende mais de 153 milhões de carteiras de habilitação digitalizadas
Um serviço de roubo de identidade chamado Nexus apareceu na dark web em 1º de setembro oferecendo busca em mais de 153 milhões de carteiras de habilitação dos EUA e Canadá, além de carteiras de identidade, documentos de viagem e carteiras de saúde. Investigadores rastrearam a origem até a IDScan.net, empresa de verificação de identidade usada por Hertz, Target, FedEx e outras grandes marcas, e o FBI abriu investigação após constatar que documentos de agentes federais também vazaram.
O caso Nexus escancara um ponto cego comum nos programas de KYC: a verificação de identidade concentra numa única base de dados justamente o material mais valioso para fraude — fotos de documentos originais em alta resolução, capturadas em luz visível, infravermelha e ultravioleta, o que basta para reproduzir os elementos de segurança que checkpoints automatizados usam para validar autenticidade. Diferente de uma senha vazada, um documento de identidade não pode ser "trocado"; uma vez exposto em qualidade suficiente para enganar verificação automatizada, o dano é permanente para a vítima.
O mecanismo por trás do vazamento ilustra um risco de cadeia de suprimentos: os dados não foram roubados diretamente das vítimas, mas de um fornecedor terceirizado (IDScan.net) que processa a verificação de identidade em nome de outras empresas — aluguel de carros, varejo, dispensários regulamentados. Isso significa que o consumidor comum nunca soube que seus dados passavam por esse provedor, e não há como ele mesmo mitigar o risco antes do fato. Uma vez à venda, esse tipo de acervo alimenta abertura de contas fraudulentas, empréstimos no nome da vítima, contas em bancos digitais e bypass de KYC em exchanges de cripto, já que os golpistas passam a possuir tanto o documento quanto a capacidade de produzir combinações verossímeis de frente/verso sob diferentes espectros de luz.
Para empresas que terceirizam verificação de identidade, o episódio reforça a necessidade de auditar continuamente fornecedores de KYC quanto a retenção de dados (por que 153 milhões de documentos permaneciam armazenados e acessíveis?), segregação de acesso e criptografia em repouso, além de exigir contratualmente notificação rápida em caso de incidente. Para o usuário final, a resposta prática é limitada, mas real: monitorar CPF/SSN em serviços de monitoramento de identidade, congelar o crédito (credit freeze) onde disponível, desconfiar de aberturas de conta ou linhas de crédito não solicitadas, e considerar que qualquer estabelecimento que exija foto de documento para verificação está potencialmente expondo esse dado a terceiros processadores fora do seu controle direto.