Nuovo servizio di furto d'identità sul dark web vende scansioni di patenti di guida di 153 milioni di persone
Un nuovo servizio di furto d'identità lanciato questa settimana sul dark web sta vendendo scansioni digitali di oltre 153 milioni di patenti di guida di persone negli Stati Uniti e in Canada. Secondo interviste con individui le cui patenti sono disponibili per l'acquisto su questo servizio, sembra che stia sifonando immagini raccolte da una società di verifica dell'identità ampiamente utilizzata con sede in Louisiana. Inoltre, KrebsOnSecurity ha appreso che l'ufficio di New Orleans del Federal Bureau of Investigation (FBI) ha avviato oggi un'indagine ufficiale sulla fonte delle immagini.Il servizio Nexus
Il servizio, chiamato Nexus, afferma di avere più di 153 milioni di patenti di guida per le persone negli Stati Uniti e in Canada, oltre a più di 10 milioni di carte di identità, più di tre milioni di documenti di viaggio e/o identità internazionali e almeno 579.000 carte mediche. Una rapida ricerca su Nexus suggerisce che il numero di 153 milioni non sia esagerato: un'etichetta vuota su Nexus (senza parametri di ricerca inseriti) restituisce circa 11,5 milioni di pagine di risultati, con circa 15 risultati visualizzati per pagina. I documenti includono immagini di persone sia in Canada che negli Stati Uniti, ma la maggior parte di questi record riguarda gli americani: una ricerca di sole patenti di guida canadesi restituisce circa 1,1 milioni di risultati, con la concentrazione più grande da Ontario (473.673 record).Origine dei dati
Le persone dietro Nexus affermano che le immagini delle patenti provengono da una violazione in corso presso "una grande società di verifica dell'identità" i cui clienti includono diverse società Fortune 500. "Abbiamo esportato continuamente nuovi dati per oltre un anno nel nostro database privato", ha scritto il proprietario del servizio nel suo post introduttivo sul forum Exploit. "I record sono disponibili per la anteprima prima dell'acquisto con le informazioni pertinenti oscurate. Le foto dei clienti sono visualizzate se disponibili." In effetti, nelle ultime 24 ore, il numero di record di patenti di guida elencati come disponibili su Nexus è aumentato di quasi 400.000, suggerendo che i dati delle patenti rubate vengono raccolti e caricati su questo servizio in modo semi-regolare.Indagine in corso
KrebsOnSecurity ha chiesto a più di una dozzina di amici e familiari il permesso di cercare le loro patenti in questo servizio. Ogni persona il cui documento è stato trovato (nove di loro) ha confermato di aver viaggiato o molto vicino alle date nei timestamp allegati alle loro immagini. È chiaro che i timestamp sono impostati sul Greenwich Mean Time (GMT). Un'indagine iniziale suggeriva che la fonte dei dati potesse essere legata agli aeroporti, ma questa teoria è stata scartata quando è emerso che non ci sono passaporti in questo set di dati. Inoltre, solo alcuni di coloro che hanno aiutato con la ricerca hanno affermato di aver mostrato la loro patente di guida al personale aeroportuale.Il ruolo di IDScan.net
Zach Edwards, un noto ricercatore di sicurezza e privacy, ha affermato che il timestamp sul suo record corrisponde alla metà di un viaggio lo scorso mese a Las Vegas per la conferenza di sicurezza annuale DEFCON. Edwards ha affermato che, sebbene non abbia noleggiato un'auto a Las Vegas, ha consegnato la sua patente al checkpoint del TSA, in un dispensario di marijuana a Las Vegas e al suo hotel (l'Aria). Edwards ha affermato che l'unico di questi tre che per certo ha scansionato il suo documento in qualche tipo di dispositivo è stato il dispensario. Edwards ha visitato Planet13, una catena multistatale con negozi in California, Florida, Illinois e Nevada. Nel 2022, la società di verifica dell'identità con sede a New Orleans idscan.net ha pubblicato un comunicato stampa che annunciava un accordo esclusivo di verifica dell'identità con i dispensari di Planet13 a livello nazionale. IDScan afferma di elaborare la verifica dell'identità per più di 1.000 dispensari di marijuana in 19 stati degli Stati Uniti. La pagina "trust" di idscan.net afferma che la società fornisce servizi di verifica dell'identità per numerose grandi aziende, tra cui Hertz, Target, Fedex, Motorola Solutions, il gigante dei servizi finanziari Jack Henry e Caesars Entertainment.Indagine dell'FBI
Durante il corso della mia ricerca per questa storia, sembra che l'FBI sia venuto a conoscenza del mio lavoro sulla fonte apparente di questo nuovo servizio di furto d'identità. Probabilmente sono stati avvisati quando ho condiviso con una fonte fidata che Nexus vende anche le informazioni sulla patente di guida del vice direttore dell'FBI (non ho trovato la patente del direttore dell'FBI Kash Patel su Nexus). Poco prima, sono stato aggiunto a una chiamata di conferenza con una mezza dozzina di agenti dell'FBI, tra cui dirigenti senior della divisione cyber dell'agenzia. Durante quella chiamata, l'FBI ha condiviso che oggi il loro ufficio di New Orleans ha aperto un'indagine ufficiale su una presunta violazione che coinvolge idscan.net.Impatto e Rischi per la Privacy
La scoperta di Nexus solleva serie preoccupazioni riguardo alla privacy e alla sicurezza dei dati personali. Le immagini delle patenti di guida, insieme ad altri documenti d'identità, possono essere utilizzate per scopi fraudolenti, come l'apertura di conti bancari falsi, l'acquisto di beni o servizi a nome di altre persone, o persino per attività criminali più gravi. La presenza di carte di dispensari di marijuana tra i documenti rubati aggiunge un ulteriore livello di complessità, poiché queste carte contengono informazioni sensibili sulla salute e sull'uso di sostanze controllate.Il Ruolo di IDScan.net e le Implicazioni Legali
IDScan.net, la società di verifica dell'identità con sede a New Orleans, è al centro dell'indagine dell'FBI. La compagnia afferma di fornire servizi a più di 1.000 dispensari di marijuana in 19 stati degli USA, oltre a grandi aziende come Hertz, Target e FedEx. La scoperta che i dati delle patenti potrebbero essere stati rubati durante transazioni con IDScan.net solleva domande sulla sicurezza delle loro procedure di scansione e archiviazione. Se confermata, la violazione potrebbe portare a gravi conseguenze legali per la società, incluse multe e azioni legali da parte delle vittime.Misure di Sicurezza e Protezione dei Dati
Questo incidente sottolinea l'importanza di adottare misure di sicurezza robuste per proteggere i dati personali. Le aziende che gestiscono informazioni sensibili devono implementare protocolli di sicurezza avanzati, come crittografia dei dati, autenticazione a più fattori e controlli rigorosi sull'accesso ai database. Inoltre, è fondamentale che le normative sulla protezione dei dati, come il GDPR in Europa, siano rispettate e applicate rigorosamente anche negli Stati Uniti.Consigli per i Cittadini
Per i cittadini, è essenziale monitorare attentamente l'uso dei propri documenti d'identità e essere consapevoli dei rischi legati alla condivisione di informazioni personali. Alcuni consigli utili includono:Indagine in Corso e Prospettive Future
L'indagine dell'FBI è ancora in corso, e ulteriori dettagli potrebbero emergere nei prossimi mesi. La scoperta di Nexus rappresenta un campanello d'allarme per l'intero settore della verifica dell'identità, spingendo le aziende a rivedere le proprie pratiche di sicurezza. Inoltre, potrebbe portare a un dibattito più ampio sulla necessità di una legislazione più severa per proteggere i dati personali e prevenire violazioni di questa portata. L'emergere di Nexus è un promemoria della vulnerabilità dei dati personali in un mondo sempre più digitalizzato. Mentre le indagini continuano, è fondamentale che sia le aziende che i cittadini adottino misure proattive per proteggere le informazioni sensibili e prevenire futuri incidenti di sicurezza. La collaborazione tra autorità, esperti di sicurezza e cittadini sarà cruciale per affrontare questa minaccia crescente.Nota Editoriale e Disclaimer
Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.
GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.
Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.
Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.