IDScan é processada após vazamento que expõe 153 milhões de carteiras de motorista
A IDScan, empresa que fornece sistemas de verificação de identidade usados por locadoras de veículos, varejistas, bancos e hotéis, sofreu uma invasão cujos dados foram colocados à venda em um serviço clandestino chamado Nexus. O pacote inclui mais de 153 milhões de scans de carteiras de motorista dos EUA e Canadá, 10 milhões de documentos de identidade, 3 milhões de documentos de viagem e 579 mil cartões médicos. A empresa já responde a múltiplas ações judiciais e o FBI abriu investigação sobre o caso.
O incidente atinge o elo mais sensível da cadeia antifraude: a própria empresa que outras organizações contratam para validar identidades. A IDScan não é uma varejista qualquer vazando e-mails — ela processa e armazena imagens de documentos oficiais escaneados no momento em que um cliente aluga um carro, abre uma conta ou se hospeda em um hotel, o que torna o vazamento equivalente a expor o "cofre" onde ficam as provas de identidade usadas por dezenas de setores.
O valor desses dados para fraudadores está na completude: uma carteira de motorista escaneada traz foto, assinatura, endereço, data de nascimento e número de documento em alta resolução — exatamente os elementos que sistemas de KYC (know your customer) e verificação de identidade por selfie comparam para aprovar aberturas de conta. Com esse material, criminosos conseguem montar identidades sintéticas ou personificar vítimas reais para abrir contas bancárias, solicitar cartões de crédito, contratar empréstimos ou passar por verificações de identidade em corretoras e fintechs, driblando justamente os controles que deveriam impedir isso.
A escala (mais de 165 milhões de documentos ao todo) e a variedade de setores afetados — aluguel de carros, varejo, armas, cannabis, hotelaria e instituições financeiras — significam que a exposição não fica restrita a um único mercado ou geografia, ampliando o universo de vítimas potenciais para fraude de identidade e abertura fraudulenta de contas nos próximos meses.
Para quem pode ter sido afetado, a resposta prática passa por congelar o CPF/relatório de crédito junto aos birôs, ativar alertas de nova conta e monitorar notificações de instituições financeiras sobre tentativas de abertura de crédito não solicitadas. Empresas que usam serviços de verificação de identidade como o da IDScan deveriam revisar se dependem exclusivamente de comparação estática de documento contra selfie e reforçar com sinais adicionais — prova de vida, verificação de dispositivo, análise comportamental — já que documentos escaneados vazados tornam a checagem tradicional de identidade, isolada, um controle insuficiente.