.webp){kind=small}
Um novo serviço de roubo de identidade lançado na dark web esta semana está vendendo digitalizações de mais de 153 milhões de carteiras de motorista de pessoas nos Estados Unidos e Canadá. Com base em entrevistas com indivíduos cujas carteiras estão disponíveis para compra neste serviço, tudo indica que ele está utilizando imagens coletadas por uma empresa de verificação de identidade amplamente utilizada, sediada na Louisiana. O KrebsOnSecurity também apurou que o escritório do FBI em Nova Orleans iniciou hoje uma investigação oficial sobre a origem das imagens.
Na segunda-feira, 31 de agosto, uma fonte alertou o KrebsOnSecurity sobre um serviço anunciado por um novo usuário no fórum russo de crimes cibernéticos Exploit, que oferecia acesso a digitalizações de documentos de identidade de mais de 170 milhões de pessoas na América do Norte. A fonte chamou minha atenção para isso porque o proprietário desse serviço de roubo de identidade ofereceu minha carteira de motorista da Virgínia como amostra grátis em seu primeiro anúncio de vendas no Exploit.
O serviço, denominado Nexus, afirma possuir mais de 153 milhões de carteiras de motorista de pessoas nos Estados Unidos e Canadá, além de mais de 10 milhões de carteiras de identidade; mais de três milhões de documentos de viagem e/ou identidades internacionais; e pelo menos 579.000 cartões de saúde.
Uma busca em branco no Nexus (sem parâmetros de busca inseridos) retorna aproximadamente 11,5 milhões de páginas de resultados, com cerca de 15 resultados exibidos por página. Inclui documentos de pessoas tanto do Canadá quanto dos Estados Unidos, mas a maior parte desses registros é de americanos: uma busca apenas por carteiras de habilitação canadenses retorna aproximadamente 1,1 milhão de resultados, com a maior concentração em Ontário (473.673 registros).
Curiosamente, os registros de identidade incluem não apenas carteiras de motorista, mas também cartões de dispensários de maconha. Alguns registros listam sua "fonte" como "CDL", presumivelmente abreviação de "carteira de motorista comercial."
Outros registros trazem a anotação de fonte "CAC", que pode se referir a Cartões de Acesso Comum, cartões de identidade emitidos pelo governo que concedem acesso físico a prédios governamentais e salas seguras.
Os responsáveis pela Nexus afirmam que as imagens das licenças provêm de uma violação de segurança ativa em "uma grande empresa de verificação de identidade", cujos clientes incluem várias empresas da lista Fortune 500.
000 registros de carteiras de motorista roubadas em apenas 24 horas.
Há mais de um ano que estamos a extrair continuamente novos dados para a nossa base de dados privada", afirmou o serviço na sua publicação de apresentação no Exploit. "Os registros podem ser consultados antes da compra, com as informações relevantes ocultadas. As fotos dos clientes são apresentadas quando disponíveis."
De fato, nas últimas 24 horas, o número de registros de carteiras de motorista listados como disponíveis no Nexus aumentou em quase 400.000, sugerindo que dados de carteiras de motorista recém-roubados estão sendo coletados e carregados neste serviço de forma semi-regular.
O registro que contém minha carteira de motorista inclui seis arquivos de imagem — três pares de fotos da frente e do verso da carteira — uma digitalização básica da imagem — além de versões infravermelhas e ultravioletas das mesmas imagens. Uma data e hora são adicionadas a cada arquivo de imagem, e a data e hora na digitalização da minha carteira corresponde a uma data em junho de 2025, quando peguei um voo para o meio-oeste dos Estados Unidos para comparecer ao funeral de um familiar.
Nem todos os registros incluem fotos, e alguns que incluem fotos não exibem os nomes dos arquivos associados.
Com o intuito de descobrir a origem desses dados, o KrebsOnSecurity pediu permissão a mais de uma dúzia de amigos e familiares para buscar suas carteiras de habilitação nesse serviço. Cada pessoa cuja carteira pôde ser encontrada (nove no total) confirmou ter viajado nas datas ou em datas muito próximas às registradas nos carimbos de data/hora anexados às suas imagens. Não está claro em qual fuso horário esses registros se encontram, mas, analisando os registros de locadoras de veículos compartilhados por diversas pessoas que colaboraram com a pesquisa, parece que o fuso horário está configurado para o Horário Médio de Greenwich (GMT).
A princípio, pensei que a origem dos dados pudesse ter alguma relação com aeroportos. No entanto, essa teoria foi descartada quando ficou evidente que não havia passaportes no conjunto de dados. Além disso, apenas alguns dos que colaboraram com a pesquisa disseram ter apresentado a carteira de habilitação no aeroporto no dia da viagem. Uma pessoa cuja carteira de habilitação constava. Nexus não havia viajado de avião recentemente, mas estava alugando um carro da Hertz por vários meses na data do registro de data e hora.
Dois dos que concordaram em ajudar são funcionários federais que disseram ter apresentado outros documentos de identificação governamentais ao passar pela segurança do aeroporto. No entanto, ambos afirmaram ter apresentado suas carteiras de habilitação estaduais posteriormente, naquele mesmo dia, ao alugarem veículos em seus respectivos destinos, e que ambos alugaram os carros na Hertz.
Depois de encontrar uma anotação no meu calendário para o dia do meu voo em junho de 2025, lembrando-me de levar meu passaporte, lembrei-me também de que, na verdade, não mostrei minha carteira de motorista ao passar pela segurança no Aeroporto Nacional Reagan naquele dia, porque ainda não tinha o Real ID, uma carteira de motorista com segurança reforçada que agora é exigida pela Administração de Segurança de Transporte (TSA) para todas as viagens domésticas. Em vez disso, mostrei ao agente da TSA meu passaporte americano emitido pelo governo.
Consegui encontrar a carteira de habilitação da minha mãe nesse serviço também, e os registros de data e hora das imagens dela estão separados por apenas alguns segundos da minha. Isso é notável porque ambas entregamos nossas carteiras de habilitação ao representante da locadora de veículos Hertz ao mesmo tempo.
Segundo minha mãe, o único lugar onde ela entregou sua carteira de motorista naquele dia foi a locadora de veículos, e se não me falha a memória, o mesmo aconteceu comigo. Não me lembro se o funcionário da locadora inseriu nossas carteiras em algum tipo de leitor, mas lembro que as retiveram por vários minutos atrás do balcão enquanto assinávamos diversos formulários. O KrebsOnSecurity entrou em contato com a Hertz para comentar o assunto e atualizará esta matéria caso receba uma resposta.
Zach Edwards é um conhecido pesquisador de segurança e privacidade que lançou recentemente um serviço chamado DecryptAds para ajudar as pessoas a entender melhor como os anunciantes online as rastreiam. Uma digitalização da carteira de motorista de Edwards está disponível para compra neste serviço de proteção contra roubo de identidade, e Edwards afirmou que o registro de data e hora corresponde ao meio de uma viagem que fez no mês passado a Las Vegas para a conferência anual de segurança DEFCON.
Edwards disse ao KrebsOnSecurity que, embora não tenha alugado um carro em Las Vegas, entregou sua carteira de habilitação no posto de controle da TSA, em uma loja de maconha em Las Vegas e em seu hotel (o Aria). Mas afirmou que o único desses três locais em que seu documento de identidade foi escaneado em algum tipo de dispositivo foi a loja de maconha.
Zach Edwards
Edwards disse que a loja que visitou naquele dia era a Planet13, uma rede com lojas em vários estados, incluindo Califórnia, Flórida, Illinois e Nevada. Em 2022, a empresa de verificação de identidade idscan.net, sediada em Nova Orleans, publicou um comunicado à imprensa anunciando um acordo exclusivo de verificação de identidade com as lojas da Planet13 em todo o país. A IDScan afirma processar a verificação de identidade para mais de 1.000 lojas de cannabis em 19 estados americanos.
A página de "confiança" do idscan.net afirma que a empresa fornece serviços de verificação de identidade para diversas grandes marcas, incluindo Hertz, Target, FedEx, Motorola Solutions, a gigante de serviços financeiros Jack Henry e Caesars Entertainment. E, como consta na própria documentação do idscan.net, a tecnologia escaneia documentos de identidade com luz infravermelha e ultravioleta. O idscan.net afirma que seus sistemas e tecnologia realizam mais de 21 milhões de verificações mensais, em mais de 20.000 locais ao redor do mundo. Contactada pelo KrebsOnSecurity, a idscan.net afirmou estar investigando o assunto, mas a empresa ainda não divulgou uma declaração oficial nem uma resposta substancial às perguntas específicas enviadas por e-mail.
Neste momento, não posso compartilhar nenhuma informação adicional, mas as atualizações que vocês forneceram foram bem-vindas e úteis para a investigação da nossa equipe", escreveu Jillian Kossman, líder de marketing e operações da idscan.net.
Durante a minha pesquisa para esta reportagem, aparentemente chegou ao conhecimento do FBI que eu estava investigando a possível fonte dos dados deste novo serviço de roubo de identidade. Provavelmente, eles foram avisados quando compartilhei com uma fonte confiável que a Nexus também está vendendo informações da carteira de motorista do diretor assistente do FBI (não encontrei a carteira de motorista do diretor do FBI, Kash Patel, na Nexus).
No início da tarde, participei de uma teleconferência com meia dúzia de agentes do FBI, incluindo altos funcionários da divisão cibernética da agência. Durante a chamada, o FBI informou que, mais cedo naquele dia, seu escritório de campo em Nova Orleans havia aberto uma investigação oficial sobre uma aparente violação de segurança envolvendo o site idscan.net.
Edwards afirmou que, à medida que mais experiências presenciais e online exigem o compartilhamento de carteiras de habilitação, os fornecedores que coletam esses dados sensíveis precisam ser submetidos a um padrão mais elevado.
Larry Baldwin é pesquisador principal de inteligência na empresa de cibersegurança Cybera. Baldwin afirmou que uma digitalização da frente e do verso de sua carteira de motorista, disponível no Nexus, contém registros de data e hora que correspondem à data de um aluguel de carro da Hertz durante férias recentes.
Baldwin afirmou que o serviço de proteção contra roubo de identidade Nexus apresenta múltiplas ameaças graves à segurança e à privacidade, observando que carteiras de habilitação emitidas pelo estado são comumente usadas como comprovante de identidade ao abrir novas linhas de crédito. Baldwin disse ainda que o serviço poderia expor perigosamente muitas pessoas que não desejam ser encontradas, mas que não conseguem alterar sua aparência de forma significativa (ou pelo menos não o suficiente para enganar as ferramentas de reconhecimento de imagem baseadas em inteligência artificial disponíveis atualmente).
Segundo ele, essa categoria de pessoas inclui aquelas que fogem da violência doméstica e até mesmo pessoas que receberam uma vida e identidade completamente novas como parte do programa de proteção a testemunhas do governo federal, geralmente reservado para réus em investigações de extorsão e conspiração que concordam em cooperar com as autoridades federais.
Justo quando parece que estamos avançando na melhoria dos controles de autenticação por meio de sistemas de verificação de carteiras de motorista, isso acontece e justamente aquilo de que essas melhorias dependem fica comprometido", disse Baldwin.
Esta é uma notícia que pode se desenvolver rapidamente. Quaisquer alterações ou atualizações serão registradas aqui, juntamente com a data e hora.
