IDScan, società statunitense specializzata nella verifica dei documenti d’identità, ha confermato di aver subito una violazione che ha coinvolto un archivio con oltre 150 milioni di record di patenti di guida. L’ammissione arriva dopo la comparsa online di un database consultabile contenente dati riferiti a persone negli Stati Uniti e in Canada.
La portata del caso non dipende soltanto dal numero di record custoditi dall’azienda. Le informazioni sottratte comprendono nomi completi e numeri delle patenti, oltre a identificativi associati ad altri documenti rilasciati dalle autorità, fra cui i passaporti. Secondo le segnalazioni emerse nei giorni scorsi, nel database erano accessibili anche le fotografie presenti sui documenti.
È un insieme di dati particolarmente delicato: una patente non è una credenziale che si possa sostituire rapidamente come una password e viene spesso usata come prova primaria dell’identità di una persona. La fuga di un archivio di queste dimensioni può quindi alimentare furti d’identità, tentativi di apertura fraudolenta di servizi finanziari, campagne di phishing molto credibili e procedure di verifica aggirate usando informazioni reali.
La conferma dopo la scoperta di un archivio sul dark web
La vicenda era stata resa pubblica all’inizio di settembre dal giornalista di cybersecurity Brian Krebs, che aveva individuato un sito nel dark web in grado di effettuare ricerche su una vasta raccolta di patenti. Krebs aveva verificato l’autenticità di almeno parte del materiale confrontando il proprio record; una verifica indipendente era stata effettuata anche da un ricercatore di sicurezza. Nell’archivio risultavano presenti, inoltre, dati di persone di alto profilo, compreso il segretario alla Difesa degli Stati Uniti Pete Hegseth.
In una prima fase IDScan aveva detto di stare esaminando un possibile incidente senza confermare un accesso non autorizzato. La comunicazione pubblicata ora sul sito dell’azienda cambia il quadro: la società afferma di aver ricevuto intorno al 1° settembre informazioni relative a una rivendicazione di attacco e riconosce che gli autori hanno sottratto documenti dal proprio ambiente cloud.
IDScan non ha indicato il numero esatto di persone coinvolte. L’azienda segnala però di detenere oltre 150 milioni di record di patenti; da qui deriva la dimensione resa nota finora. Record e individui non sono necessariamente equivalenti, perché uno stesso soggetto può comparire più volte o essere associato a più documenti, ma il dato restituisce comunque l’ampiezza dell’archivio potenzialmente esposto.
Non sono stati resi pubblici né il vettore tecnico dell’intrusione né il periodo in cui gli aggressori hanno avuto accesso ai sistemi. Restano da chiarire anche le misure con cui la società proteggeva l’archivio cloud e se eventuali clienti siano stati interessati da conseguenze operative dirette. L’indagine interna viene descritta come ancora in corso.
Che ruolo ha IDScan e perché l’archivio era così ampio
IDScan ha sede in Louisiana e fornisce strumenti per leggere, controllare e verificare documenti d’identità. I suoi clienti operano in contesti diversi: locali e strutture di intrattenimento, ma anche dispensari di cannabis, usano questi servizi per verificare l’età o l’identità degli avventori. In queste procedure, la scansione della patente serve a ridurre controlli manuali, registrare accessi e rilevare documenti non validi.
Questa funzione rende l’azienda un punto di concentrazione di informazioni che normalmente resterebbero distribuite fra esercizi, utenti e autorità emittenti. Quando un operatore di verifica raccoglie copie o campi strutturati dei documenti, diventa un bersaglio appetibile: una singola compromissione può mettere nelle mani degli attaccanti dati sufficienti a ricostruire l’identità di milioni di persone.
Il caso riporta anche l’attenzione su una pratica ormai comune nella vita quotidiana: consegnare la patente per entrare in un locale, acquistare prodotti soggetti a limiti di età o completare una verifica richiesta da un servizio. Per l’utente finale il gesto dura pochi secondi; dietro la scansione possono però esserci conservazione, trasferimento e trattamento di informazioni personali da parte di più soggetti. La trasparenza su tempi di conservazione, finalità e misure di sicurezza diventa essenziale proprio perché i documenti governativi non sono dati facilmente revocabili.
I rischi per gli interessati e le informazioni ancora mancanti
La combinazione di nome, numero della patente, foto e altri identificativi pubblici o governativi è più pericolosa della sola esposizione di un indirizzo email. Può aiutare chi tenta di impersonare una vittima davanti a un operatore umano o a un sistema di verifica che considera il documento un elemento affidabile. Può inoltre rendere più efficaci messaggi fraudolenti costruiti con dettagli personali corretti.
Al tempo stesso, dalle informazioni disponibili non emerge che siano stati sottratti dati finanziari, password o codici di accesso. Non è neppure noto se l’archivio sia stato diffuso integralmente, venduto, oppure reso accessibile attraverso meccanismi a pagamento. IDScan fa riferimento al fatto che l’accesso completo alle informazioni richiedesse un pagamento, ma non ha precisato se gli aggressori abbiano avanzato una richiesta di riscatto né se vi siano state trattative.
Per le persone potenzialmente coinvolte, la conseguenza più concreta nell’immediato è l’aumento della prudenza verso contatti che usano dati anagrafici reali per apparire legittimi. Comunicazioni su banche, account, rinnovi di documenti o presunte verifiche d’identità meritano un controllo attraverso canali ufficiali, senza usare link o recapiti ricevuti nel messaggio. È utile inoltre monitorare movimenti e richieste insolite connesse alla propria identità, perché la riemissione di una patente non elimina necessariamente l’esposizione dei dati già registrati.
Non risulta al momento una procedura dettagliata di notifica individuale né un elenco delle giurisdizioni interessate. IDScan ha scelto di pubblicare un avviso sul proprio sito per informare i soggetti che potrebbero essere stati colpiti. La società non ha risposto alle richieste di commento sulle circostanze dell’incidente riportate dalla stampa.
Pressione crescente su fornitori e autorità
Il Pentagono aveva dichiarato di essere a conoscenza della sospetta violazione prima della conferma formale di IDScan. Anche l’FBI ha detto di stare indagando. Il coinvolgimento delle autorità federali è comprensibile alla luce della natura dei dati e della presenza segnalata di profili rilevanti nell’archivio, ma non implica che siano già state attribuite responsabilità o rese note le identità degli attaccanti.
Nei prossimi passaggi conteranno soprattutto tre elementi: l’esatta estensione dei dati estratti, il modo in cui l’accesso ai sistemi cloud è avvenuto e le tutele che IDScan metterà a disposizione degli interessati. Servirà poi capire se l’azienda comunicherà direttamente con le persone esposte e con i clienti che hanno utilizzato il servizio per raccogliere documenti.
Per il settore dell’identità digitale, la vicenda è un promemoria severo. La verifica documentale viene proposta come strumento di fiducia e di prevenzione delle frodi, ma quella fiducia dipende dalla capacità di proteggere gli archivi creati lungo il processo. Se a essere compromessi sono proprio i dati usati per dimostrare chi siamo, il danno potenziale resta nel tempo e si estende ben oltre il singolo accesso violato.
