Um serviço de roubo de identidade da dark web está vendendo mais de 153 milhões de digitalizações de carteiras de motorista dos EUA e do Canadá, e o FBI está investigando a origem dos dados. Esta aparente violação é um exemplo particularmente claro dos problemas da economia moderna de verificação de identidade, onde provar quem você é significa fornecer uma cópia permanente de um documento confidencial a terceiros.
de acordo com Krebs sobre segurançaO serviço, denominado Nexus, foi lançado num fórum de cibercrime em língua russa e afirma ter mais de 153 milhões de cartas de condução, bem como mais de 10 milhões de outros documentos de identidade, mais de 3 milhões de documentos de viagem e bilhetes de identidade internacionais, e centenas de milhares de cartões médicos.
Esse número é difícil de verificar de forma independente, mas Krebs encontrou evidências de que o serviço era mais do que apenas uma fanfarronice. O banco de dados contém licenças do próprio Krebs e do secretário de Defesa dos EUA, Pete Hegseth, bem como de outros funcionários do governo. A licença inclui várias imagens do documento, incluindo digitalizações de frente e verso e, em alguns casos, versões infravermelhas e ultravioleta.
Os dados também parecem ser recentes. O número de registros de carteira de motorista anunciados pela Nexus aumentou em quase 400 mil em cerca de 24 horas, e a operadora afirma que eles vazam informações há mais de um ano.
Krebs rastreou a fonte aparente até IDScan.net, uma empresa de verificação de identidade com sede em Nova Orleans. A empresa afirma que sua tecnologia lida com mais de 21 milhões de verificações de identidade todos os meses em mais de 20.000 locais ao redor do mundo.
Os materiais de clientes do IDScan.net mostram como esse tipo de infraestrutura está incorporado no comércio diário. As empresas e marcas listadas em seu site oficial incluem Holiday Inn, 7-Eleven, GameStop, DraftKings, Hertz, Target, FedEx, Shell e Caesars Entertainment, entre outras.
A conexão é particularmente impressionante porque Krebs descobriu que os carimbos de data e hora anexados a várias das licenças vazadas correspondiam a viagens, estadias em hotéis, aluguel de carros e outras interações do mundo real em que as pessoas entregavam suas identidades.
IDScan.net disse que está investigando o incidente, mas não confirmou publicamente que seu sistema era a fonte do banco de dados Nexus. A empresa disse a Krebs que não poderia fornecer mais informações enquanto a investigação continuasse. O FBI também investigou aparentes irregularidades através do seu escritório em Nova Orleans.
️ Novo artigo de Brian Krebs: FBI investiga serviços que vendem 153 milhões de carteiras de motorista
Discussão sobre cebola Darknet: http://nexusdbbulkq5345qlqyc2iprxzsrwvavd6r5qwel3o3vxs5svg5mjyd(.)cebola pic.twitter.com/HVsrjGrL9x
– Dark Web Informer (@DarkWebInformer) 2 de setembro de 2026
Pouco depois de Krebs publicar seu relatório, o próprio site Nexus desapareceu da dark web, substituído por uma mensagem informando que o serviço não estava mais disponível.
O defensor de longa data da política de criptomoeda e diretor executivo do Coin Center, Peter Van Valkenburgh, disse em um artigo Este vazamento não é um incidente estranho e único. Ele chamou os ataques de hackers de “inevitáveis” e disse que a sociedade “estava muito atrasada para reduzir o número de KYCs”.
O argumento de Van Valkenburgh é fundamentalmente sobre a minimização de dados. Cada vez que uma empresa solicita a digitalização de um documento de identidade governamental, ela cria outro repositório de informações que podem ser roubadas, revendidas ou utilizadas indevidamente.
“Contratamos um grande número de prestadores de serviço quase governamentais para realizar a coleta e vigilância de dados”, escreveu Van Valkenberg. Ele argumentou que os bancos de dados resultantes os tornavam alvos atraentes precisamente porque continham muita informação valiosa em um só lugar.
À medida que os governos e as empresas empurram a verificação de identidade para mais áreas da vida quotidiana, o problema torna-se mais difícil de ignorar. Verificação de idade, conformidade financeira, check-in em hotel, aluguel de carro, jogos de azar, vendas de maconha e serviços on-line podem exigir alguma forma de digitalização de identidade.
Zach Edwards, pesquisador de segurança e privacidade que descobriu sua própria carteira de motorista em um banco de dados Nexus, disse a Krebs que o incidente destaca os riscos de terceirizar a verificação de identidade para uma rede cada vez maior de fornecedores terceirizados. “Esses sistemas colocam dados confidenciais em um número crescente de fornecedores terceirizados e temos pouca supervisão para mantê-los seguros”, disse Edwards.
Na verdade, o sistema que foi estabelecido é ele próprio contraditório. Embora existam processos cada vez mais sofisticados para determinar se alguém é realmente quem afirma ser, estes sistemas muitas vezes precisam de recolher informações suficientes para criar situações devastadoras se a segurança da base de dados em questão falhar.
Esta não é a primeira vez que a escala do problema se torna absurda. Em 2025, a empresa de software educativo PowerSchool sofreu um ataque que expôs informações sensíveis pertencentes a dezenas de milhões de estudantes e professores, incluindo números de Segurança Social, datas de nascimento e informações médicas. Em 2024, a AT&T também divulgou que hackers obtiveram números de Seguro Social, datas de nascimento, números de telefone, endereços de e-mail e outras informações de 73 milhões de clientes atuais e antigos. Outro incidente expôs os registros telefônicos de quase todos os clientes da empresa.
Estão disponíveis soluções técnicas para o problema fundamental da criação de honeypots de dados confidenciais de clientes. Por exemplo, as provas de conhecimento zero podem permitir que alguém prove que atende a certas condições sem revelar todas as informações contidas nas credenciais subjacentes. Em vez de entregar a carteira de motorista completa para comprovar que você tem mais de 21 anos, o sistema pode, teoricamente, verificar os fatos sem receber seu nome, endereço, número da carteira de motorista e outras informações impressas no cartão.
153 milhões de carteiras de motorista vazaram!
Os documentos de identidade só podem ser autenticados usando provas de conhecimento zero. Não forneça todas as suas informações pessoais apenas para provar que possui uma carteira de motorista válida.– Recmo (@recmo) 2 de setembro de 2026
Embora essas técnicas não tornem magicamente a autenticação segura em todas as situações, elas fornecem uma maneira de redesenhar seu sistema para que a verificação da identidade de alguém não crie outros problemas secundários.
É claro que há também uma realidade inconveniente por trás de tudo isso: a coleta de dados não é apenas uma questão de uma empresa decidir que precisa de mais informações. As leis e regulamentos podem exigir que as empresas recolham, verifiquem ou retenham informações de identidade em determinadas circunstâncias. Ou seja, além da adoção de diversas inovações tecnológicas, também serão necessárias alterações nas regulamentações relativas à coleta de dados pessoais.
Resta saber se estas alterações técnicas ou regulamentares serão implementadas em breve. “Os departamentos de conformidade avessos ao risco e os reguladores opinativos preferem práticas antigas e a aparência de conformidade estrita (marcação de caixas) em vez de proteger verdadeiramente as pessoas através da minimização de dados e de alternativas auditáveis e verificáveis”, escreveu Van Valkenburgh.
