IDScan conferma una violazione del cloud mentre circolano accuse sul furto di 153 milioni di scansioni di patenti di guida

Il provider di verifica dell’identità IDScan ha confermato un potenziale accesso non autorizzato alle informazioni dei clienti archiviate su IDScan.net, la sua piattaforma cloud. La divulgazione arriva dopo la comparsa di un vasto database di documenti d’identità sul marketplace del dark web Nexus.

Secondo quanto riferito, la raccolta pubblicizzata conteneva oltre 153 milioni di scansioni di patenti di guida statunitensi e canadesi, oltre a milioni di altri documenti identificativi. Tuttavia, IDScan non ha stabilito che ogni record offerto tramite Nexus provenisse dai propri sistemi.

L’azienda non ha inoltre comunicato quanti clienti o individui siano stati coinvolti. Le indagini sono ancora in corso.

IDScan ha rilevato un potenziale accesso al cloud il primo settembre

IDScan ha appreso il primo settembre 2026 che una parte non autorizzata potrebbe aver avuto accesso alle informazioni conservate negli account dei clienti su IDScan.net o averle copiate. Lo stesso giorno, il giornalista specializzato in cybersecurity Brian Krebs ha riferito che Nexus stava vendendo l’accesso a oltre 153 milioni di scansioni di patenti di guida.

IDScan ha pubblicato un avviso di sicurezza il 4 settembre 2026. Secondo l’azienda, le informazioni potenzialmente esposte comprendevano:

• Nomi e cognomi.
• Numeri delle patenti di guida.
• Altri numeri identificativi rilasciati dalle autorità pubbliche.

La notifica non forniva un inventario completo dei dati compromessi. In particolare, non confermava esplicitamente che l’intruso avesse ottenuto immagini dei documenti, sebbene le notizie sul marketplace Nexus colleghino l’incidente alle scansioni di patenti di guida.

L’avviso era inoltre configurato con una direttiva noindex, che impedisce ai motori di ricerca di includere la pagina nei risultati. Questa configurazione non impediva l’accesso diretto all’avviso, ma potrebbe averne reso più difficile l’individuazione tramite le normali ricerche online.

Entro il 10 settembre 2026, la conferma della violazione da parte di IDScan e il proseguimento delle indagini erano stati riportati pubblicamente con maggiori dettagli. Secondo quanto riferito, contro l’azienda erano già state presentate diverse cause, anche se non è stato comunicato il numero esatto.

Il dataset di Nexus potrebbe contenere molti più documenti delle sole patenti di guida

Secondo quanto riferito, il database pubblicizzato tramite Nexus era molto più ampio di quanto suggerisse il dato principale. I contenuti dichiarati comprendevano:

• Oltre 153 milioni di scansioni di patenti di guida statunitensi e canadesi.
• Circa 10 milioni di scansioni di carte d’identità.
• Oltre 3 milioni di documenti di viaggio o documenti d’identità internazionali.
• Almeno 579.000 tessere sanitarie.

Secondo quanto riferito, Krebs ha verificato la raccolta cercando i propri dati e quelli di altre persone che avevano acconsentito alle ricerche. I risultati hanno contribuito a collegare i dati a IDScan.

Notizie precedenti avevano descritto indizi del fatto che Nexus disponesse di una raccolta di documenti d’identità ampia e forse in rapida evoluzione. Ciononostante, diverse affermazioni fondamentali restano non verificate.

IDScan non ha dichiarato quanti dei record pubblicizzati da Nexus provenissero dalla sua piattaforma. Non ha confermato che i totali indicati dal marketplace siano accurati né che tutti i documenti pubblicizzati siano autentici. Inoltre, una raccolta di 153 milioni di scansioni non corrisponde necessariamente a 153 milioni di persone diverse, perché una stessa persona può avere più immagini, patenti rinnovate o record duplicati.

Secondo quanto riferito, Nexus vendeva l’accesso al database anziché renderlo liberamente scaricabile. Il marketplace è stato successivamente messo offline dopo aver attirato l’attenzione dell’opinione pubblica, ma ciò non invalida le copie già ottenute dagli utenti paganti o dagli operatori del marketplace.

In seguito, altri soggetti hanno dichiarato di possedere e vendere il database completo. Queste offerte non sono state autenticate.

Il metodo dell’intrusione resta sconosciuto

Il prodotto coinvolto è IDScan.net, il servizio cloud di verifica dell’identità di IDScan. Le organizzazioni utilizzano la piattaforma per scansionare documenti ufficiali, valutarne l’autenticità ed estrarre informazioni sull’identità per processi aziendali o di compliance.

Non sono state comunicate versioni software coinvolte. Poiché IDScan.net è un servizio cloud, l’incidente non è stato ricondotto a una versione installabile dai clienti e applicabile autonomamente dalle organizzazioni.

Non risultano inoltre CVE associate né vulnerabilità del prodotto documentate pubblicamente. Le informazioni disponibili non stabiliscono se l’aggressore abbia:

• Violato l’infrastruttura centrale di IDScan.
• Preso il controllo di uno o più account dei clienti.
• Utilizzato credenziali amministrative o API rubate.
• Sfruttato un errore di configurazione del cloud.
• Abusato di un’integrazione legittima.
• Sfruttato una vulnerabilità software non divulgata.

Di conseguenza, non si tratta di un evento relativo al catalogo CISA Known Exploited Vulnerabilities con una scadenza di remediation pubblicata. È un’indagine su una violazione di dati nel cloud senza una causa tecnica principale resa nota.

Anche l’identità della parte non autorizzata è sconosciuta. The Record ha descritto Nexus come collegato alla Russia, ma questa caratterizzazione non stabilisce chi abbia avuto inizialmente accesso a IDScan.net né chi abbia fornito il database al marketplace.

L’FBI sta indagando. Non sono stati identificati pubblicamente soggetti sospetti, tecniche di intrusione, famiglie di malware, richieste di riscatto o attività distruttive.

L’esposizione potrebbe coinvolgere aziende e clienti che dipendono dalla verifica dell’identità

La tecnologia di IDScan viene utilizzata dalle organizzazioni che devono verificare identità, età, requisiti o status normativi. Tra i settori dei clienti indicati figurano società di autonoleggio, rivenditori, istituti finanziari, aziende che operano nel settore della cannabis, armerie e strutture ricettive.

Le vittime dirette sono potenzialmente le persone i cui documenti sono stati elaborati e conservati. Nomi e cognomi associati a numeri identificativi autentici possono agevolare il furto d’identità, l’apertura fraudolenta di account, campagne di phishing mirate e tentativi di aggirare i controlli know-your-customer.

Se fosse confermata, l’esposizione delle immagini dei documenti comporterebbe ulteriori rischi. Una scansione può contenere campi identificativi strutturati ed elementi visivi utili per campagne di social engineering o tentativi di verifica fraudolenta. I campi disponibili variano a seconda del documento e IDScan non ha pubblicato uno schema completo dei dati compromessi.

Le organizzazioni che utilizzano la piattaforma devono affrontare un ulteriore problema operativo. Potrebbero dover stabilire se i dati inviati a IDScan siano stati copiati anche in database interni, sistemi di supporto, archivi di compliance o integrazioni di terze parti. Queste copie a valle potrebbero ampliare la portata dell’incidente, anche se l’accesso originario al cloud è stato contenuto.

I settori indicati fanno inoltre ampio affidamento sui controlli dell’identità per transazioni ad alto impatto. La creazione fraudolenta di account, i noleggi di veicoli, le attività finanziarie, gli acquisti regolamentati e le prenotazioni alberghiere potrebbero essere tentati utilizzando attributi personali autentici.

La portata resta incerta. Le cifre di Nexus suggeriscono una potenziale esposizione sistemica, ma non devono essere considerate il numero di record della violazione confermato da IDScan.

IDScan sta informando gli interessati mentre le indagini proseguono

IDScan ha dichiarato di aver adottato misure per proteggere i propri sistemi dopo aver rilevato l’attività e di aver coinvolto specialisti esterni per indagare sulla natura e sulla portata dell’incidente. L’azienda sta inoltre riesaminando le proprie policy di sicurezza e collaborando con le autorità federali.

Le persone potenzialmente coinvolte vengono informate e ricevono servizi gratuiti di monitoraggio del credito e protezione dell’identità. IDScan non ha pubblicato il numero definitivo dei clienti né un elenco completo dei tipi di dati compromessi.

I clienti non devono presumere che l’assenza di una notifica significhi che i loro ambienti non siano coinvolti mentre le indagini restano aperte. Le organizzazioni che utilizzano IDScan.net dovrebbero individuare le unità aziendali, le applicazioni e le integrazioni API che hanno inviato documenti d’identità al servizio.

Le misure difensive dovrebbero includere:

1. Esaminare l’attività degli account IDScan.net. Cercare accessi imprevisti, modifiche amministrative, query in massa, esportazioni o attività di verifica dei documenti anomale.
2. Convalidare gli accessi amministrativi. Rimuovere gli account inattivi e verificare che i privilegi attuali corrispondano alle esigenze operative.
3. Ruotare i segreti pertinenti. Sostituire password, chiavi API, token di accesso e credenziali delle integrazioni potenzialmente esposti.
4. Imporre una strong multifactor authentication. Dare priorità agli account degli amministratori e a quelli per la gestione dei servizi.
5. Esaminare i sistemi connessi. Stabilire se le immagini dei documenti o i campi estratti siano stati replicati in database dei clienti, log, backup o piattaforme di analytics.
6. Ridurre la quantità di dati identificativi conservati. Verificare se le scansioni dei documenti d’identità rilasciati dalle autorità pubbliche siano conservate più a lungo di quanto richiesto dalle esigenze legali o operative.
7. Preparare i team antifrode e gli help desk. Gli aggressori potrebbero utilizzare dati personali accurati per rendere credibili tentativi di phishing, furto d’identità e recupero fraudolento degli account.

Le persone coinvolte dovrebbero prestare particolare attenzione ai messaggi che fanno riferimento a dettagli reali della patente o dichiarano di riguardare la sostituzione di un documento, la verifica di un account, un’azione legale o la protezione del credito. Il possesso di dati identificativi accurati non rende legittimo un messaggio.

Restano senza risposta le domande centrali: come ha ottenuto l’accesso l’intruso, per quanto tempo è rimasto nell’ambiente e quale parte della raccolta di Nexus proveniva da IDScan. Finché questi risultati non saranno resi noti, clienti e individui dovranno prepararsi a un’esposizione potenzialmente più ampia di quella finora confermata dall’azienda.