IDScan confirma una brecha vinculada al robo de 153 millones de licencias de conducir

La empresa de verificación de identidad IDScan confirmó que piratas informáticos accedieron a datos de clientes almacenados en su plataforma en la nube, días después de que varios informes vincularan a la compañía con una enorme base de datos que contenía más de 153 millones de escaneos de licencias de conducir.

IDScan divulgó el incidente en un aviso de seguridad del 4 de septiembre, en el que señaló que supo alrededor del 1 de septiembre que ciertos datos podrían haber sido consultados sin autorización. "Al descubrirlo, tomamos medidas inmediatas para proteger nuestros sistemas y contratamos a un equipo de especialistas externos para que ayudaran a determinar la naturaleza y el alcance completos del incidente", afirmó la empresa.

La compañía indicó que su investigación sigue en curso, pero que ya determinó que un tercero no autorizado "podría" haber accedido o copiado información de clientes almacenada en cuentas de la nube de IDScan.net. Los datos expuestos pueden incluir nombres completos y números de licencias de conducir u otros documentos de identificación emitidos por el gobierno. Aunque el aviso no lo menciona, según los reportes la brecha también habría permitido a los atacantes robar escaneos de licencias de conducir.

TechCrunch detectó la notificación de brecha de IDScan, publicada el 4 de septiembre pero configurada con una directiva "noindex" que ordenaba a los motores de búsqueda no indexar la página.

BleepingComputer había informado el 4 de septiembre de que se habían presentado varias demandas contra IDScan después de que piratas informáticos supuestamente vulneraran a la empresa y ofrecieran acceso a una base de datos con más de 153 millones de licencias de conducir. En ese momento, IDScan no había reconocido públicamente el incidente ni había respondido a las solicitudes de comentarios de BleepingComputer.

La empresa señaló que, aunque el acceso completo a la información expuesta requería un pago, está notificando a las personas potencialmente afectadas "por precaución" y ofreciendo servicios gratuitos de monitoreo de crédito y protección de identidad.

Una enorme base de datos de identificaciones vinculada a IDScan

El incidente salió a la luz después de que Brian Krebs informara el 1 de septiembre que una plataforma de la dark web llamada "Nexus" anunciaba acceso a más de 153 millones de escaneos de licencias de conducir de Estados Unidos y Canadá. El servicio también supuestamente contenía 10 millones de tarjetas de identificación, 3 millones de documentos de viaje y 579.000 tarjetas médicas.

Krebs verificó muestras de la base de datos buscando registros propios y de otras personas que dieron su consentimiento para las búsquedas, y rastreó la información expuesta hasta IDScan.

IDScan ofrece tecnología de verificación de identidad que las empresas utilizan para escanear, autenticar y extraer información de documentos de identificación emitidos por el gobierno. Su plataforma es usada por empresas de alquiler de autos, minoristas, instituciones financieras, dispensarios de cannabis, armerías y negocios de hospitalidad.

Después de que se difundiera la noticia del servicio Nexus, la plataforma fue retirada, aunque los ciberdelincuentes probablemente todavía tienen acceso a la base de datos. Desde entonces, múltiples actores de amenazas han afirmado estar vendiendo la base de datos completa, pero BleepingComputer no ha podido confirmar si esas ventas son legítimas.

IDScan dijo que está cooperando con las autoridades federales, y el FBI ya había confirmado a BleepingComputer que investigaba el incidente. "En respuesta a este incidente, iniciamos de inmediato una investigación y revisamos nuestras políticas y procedimientos relacionados con la seguridad de los datos", declaró IDScan. "También estamos cooperando con las autoridades federales en su investigación".

BleepingComputer se ha puesto en contacto varias veces con IDScan para hacer preguntas sobre el incidente, pero no ha recibido respuesta.