Un archivio nel dark web con oltre 153 milioni di immagini o record collegati a patenti e documenti d’identità di Stati Uniti e Canada è abbastanza grande da cambiare la natura di una discussione. Il servizio, chiamato Nexus, è stato documentato da ricercatori e giornalisti di sicurezza e ha alimentato il sospetto che dietro la raccolta possa esserci la compromissione di un importante fornitore di verifica dell’identità. L’origine esatta del dataset non è stata pubblicamente attribuita in modo definitivo, quindi sarebbe scorretto indicare un’azienda specifica senza conferme. Quello che è visibile, però, basta a rendere il caso rilevante.
Negli ultimi anni governi e piattaforme hanno spinto sempre più siti a verificare l’età degli utenti, soprattutto per pornografia, social media e servizi considerati inadatti ai minori. Il risultato è un paradosso: per ridurre un rischio sociale, milioni di persone vengono invitate a consegnare documenti a sistemi che diventano a loro volta infrastrutture ad altissimo valore per criminali informatici.
153 milioni di documenti sono più di un semplice database rubato
Una patente contiene una combinazione particolarmente potente di informazioni: nome, fotografia, data di nascita, indirizzo, firma e numero identificativo. In alcuni contesti può essere usata per aprire account, superare controlli KYC o rendere credibile un tentativo di impersonazione. La disponibilità su larga scala permette inoltre di automatizzare frodi che un tempo richiedevano documenti falsi costruiti manualmente.
WIRED ha riportato che Nexus offriva immagini di documenti statunitensi e canadesi in quantità enorme. TechCrunch ha descritto il caso come il possibile breach di un grande servizio di verifica. La prudenza sull’attribuzione è necessaria, ma non riduce l’urgenza del problema: se un archivio di queste dimensioni è autentico, rappresenta una delle concentrazioni di dati identificativi più significative emerse pubblicamente.
L’age verification crea nuovi honeypot
Le leggi che richiedono verifiche dell’età hanno spesso un obiettivo comprensibile: impedire l’accesso dei minori a determinati contenuti o servizi. Il problema è l’implementazione. Se ogni piattaforma chiede una scansione del documento e il controllo viene affidato a pochi provider centralizzati, questi fornitori diventano honeypot: bersagli nei quali una singola violazione può compromettere milioni di identità.
La sicurezza non può essere valutata soltanto sulla capacità del sistema di dire “questo utente ha più di 18 anni”. Bisogna chiedersi quanti dati conserva, per quanto tempo, se memorizza l’immagine completa, se separa i dati biometrici da quelli anagrafici e se può rispondere alla richiesta con un attributo minimo invece di trasferire l’intero documento.
Dimostrare l’età non dovrebbe significare consegnare l’identità
Dal punto di vista tecnico esistono approcci che cercano di separare età e identità. Un sistema potrebbe attestare che una persona supera una soglia senza comunicare nome, indirizzo e numero del documento al sito finale. Credenziali verificabili e tecniche crittografiche di selective disclosure puntano proprio a questo obiettivo.
Non sono soluzioni prive di complessità. Devono essere interoperabili, facili da usare e resistenti alle frodi. Ma mostrano che il modello “carica la patente su ogni sito che la chiede” non è l’unica possibilità. Se l’obiettivo normativo è conoscere una proprietà dell’utente, il sistema dovrebbe raccogliere soltanto quella proprietà.
La cancellazione dei dati deve essere verificabile
Molti provider sostengono di cancellare le immagini dopo la verifica. È una garanzia importante, ma per il pubblico è difficile verificarla. Servono audit indipendenti, log, tempi di retention espliciti e sanzioni se i dati vengono conservati oltre il necessario. La privacy by design non può dipendere esclusivamente da una frase nelle condizioni d’uso.
Una delle lezioni dei grandi breach è che i dati conservati “per sicurezza” spesso diventano un problema anni dopo. Se un documento non è più necessario una volta calcolata l’età, ogni giorno aggiuntivo di retention aumenta il rischio senza produrre necessariamente valore.
Il furto di identità diventa più convincente con l’AI
La disponibilità di fotografie e dati anagrafici si combina con strumenti generativi capaci di creare video, immagini e voci sintetiche. Non significa che ogni documento rubato porterà a un deepfake, ma abbassa il costo di costruire identità digitali convincenti. In sistemi KYC deboli, un attaccante può combinare dati reali con materiale sintetico per superare controlli.
Per banche, exchange e piattaforme questo rende necessario spostare l’attenzione dalla semplice “presenza di un documento” a segnali di provenienza, liveness, rischio comportamentale e verifica incrociata. Un documento autentico può essere nelle mani della persona sbagliata.
La regolazione deve valutare il rischio creato dalla soluzione
Quando una legge impone un controllo, tende a concentrarsi sul beneficio atteso. Il caso Nexus mostra che è necessario valutare anche il rischio generato. Se per proteggere i minori si crea una nuova rete di database contenenti documenti di adulti, il legislatore deve stabilire requisiti di minimizzazione, sicurezza, audit e responsabilità molto più severi rispetto a un normale servizio online.
Questo vale soprattutto perché gli utenti non hanno una vera possibilità di negoziare. Se la verifica è obbligatoria per accedere a un servizio, la consegna del documento non è una scelta di mercato libera nel senso tradizionale. La protezione deve quindi essere incorporata a monte.
Un database può essere sostituito, un volto no
Le password si cambiano. Una carta di pagamento si blocca. Nome, data di nascita, fotografia e molti attributi biometrici non possono essere ruotati con la stessa facilità. È la ragione per cui gli archivi di identità richiedono una soglia di protezione più alta.
Il caso Nexus non dimostra che ogni sistema di age verification sia intrinsecamente pericoloso, ma mostra quale può essere il costo di un’architettura troppo centralizzata e data-intensive. Se internet sta andando verso più verifiche, la sfida non è soltanto verificare meglio. È verificare raccogliendo meno.
