Nexus, 153 milioni di patenti sul dark web: sospetti su un flusso di scansioni quasi in tempo reale

Una patente acquisita da un dipendente di una società di autonoleggio sarebbe comparsa nel dark web poche ore dopo la scansione. Il documento era in vendita su Nexus, un nuovo servizio clandestino che pubblicizzava oltre 153 milioni di patenti, spesso complete di immagini ad alta definizione e acquisizioni negli spettri infrarosso e ultravioletto.

L’inchiesta di KrebsOnSecurity, pubblicata martedì e rilevata il 2 settembre 2026, descrive un archivio in rapida espansione. In sole 24 ore, il numero delle patenti disponibili sarebbe cresciuto di quasi 400.000 unità.

Le tempistiche fanno temere una sottrazione ancora attiva da una piattaforma usata per verificare i documenti presso autonoleggi, dispensari e altre attività. L’FBI sta investigando, mentre IDScan.net, società collegata pubblicamente al flusso di dati, ha avviato verifiche interne.

Un archivio costruito per la contraffazione, non soltanto per il furto d’identità

Nexus non offriva semplici elenchi contenenti nomi, indirizzi e numeri di patente. Per ogni documento sembravano essere disponibili più file, comprese immagini ad alta risoluzione del fronte e del retro.

Il materiale osservato includeva anche scansioni nelle bande infrarossa e ultravioletta. Questo dettaglio aumenta sensibilmente la gravità dell’esposizione: tali acquisizioni possono rivelare caratteristiche di sicurezza non visibili in una normale fotografia, comprese componenti utilizzate per verificare ologrammi e autenticità del supporto.

Un criminale potrebbe quindi combinare le informazioni anagrafiche con immagini complete e dati provenienti da precedenti violazioni. Indirizzi attuali e passati, Social Security number e profili demografici possono rendere più credibili richieste fraudolente, aperture di conti o tentativi di impersonificazione.

Il rischio non si limita alle frodi online. La disponibilità delle scansioni multispettrali potrebbe facilitare la produzione di documenti contraffatti progettati per superare controlli visivi o automatizzati.

Tra le identità trovate nell’archivio figuravano quelle del giornalista Brian Krebs, di sua madre, di un vicedirettore dell’FBI e di diversi ricercatori di sicurezza. Non è noto quante persone distinte corrispondessero ai 153 milioni di record, perché uno stesso documento poteva essere rappresentato da più file.

Le nuove scansioni arrivavano su Nexus entro poche ore

L’elemento più preoccupante riguarda la velocità di pubblicazione. In diversi casi, i documenti diventavano disponibili entro un giorno dalla loro presentazione a un’attività commerciale; talvolta bastavano poche ore.

Questa dinamica è difficilmente compatibile con la sola circolazione di un vecchio archivio sottratto e poi rivenduto. Suggerisce invece un accesso continuativo, o comunque molto recente, ai dati raccolti da un servizio centrale di scansione.

La società di autonoleggio coinvolta nel caso principale non è stata identificata. Non è quindi possibile stabilire quale sede abbia acquisito la patente, quale sistema locale fosse in uso o se il documento sia transitato attraverso infrastrutture condivise con altre aziende.

Non è noto neppure il vettore della compromissione. Potrebbe riguardare un account, un’interfaccia applicativa, un archivio cloud, un sistema interno o un’integrazione con soggetti terzi, ma al momento non sono disponibili elementi tecnici sufficienti per attribuire la fuga di dati a una specifica componente.

Mancano anche indicatori pubblici di compromissione, come indirizzi IP, domini, hash o nomi di account da cercare nei registri aziendali. Non sono state comunicate versioni di software vulnerabili e non risulta associato alcun identificativo CVE.

Il collegamento con IDScan.net e i rapporti con Hertz e Planet13

Le informazioni disponibili hanno collegato il possibile flusso di scansioni a IDScan.net, società di New Orleans specializzata nell’acquisizione e nella verifica di documenti. L’azienda dichiara che la propria tecnologia è in grado di produrre immagini negli spettri infrarosso e ultravioletto, le stesse tipologie osservate su Nexus.

IDScan.net ha inoltre annunciato un accordo esclusivo con Planet13, catena di dispensari presente in più Stati, e ha indicato Hertz e altre 11 aziende tra i propri clienti o utilizzatori.

Uno dei casi esaminati riguardava una persona che aveva visitato un punto vendita Planet13 a Las Vegas. L’intervallo tra la presentazione del documento e la sua disponibilità su Nexus è stato ritenuto compatibile con un collegamento fra il sistema di scansione e il mercato clandestino.

Si tratta però di indizi, non di una ricostruzione tecnica conclusiva. Non è stato reso noto se IDScan.net abbia confermato un accesso abusivo ai propri sistemi, né quale infrastruttura avrebbe conservato o trasferito le immagini.

Un portavoce della società ha dichiarato che sono in corso verifiche interne. I rappresentanti dell’autonoleggio interessato non avevano fornito risposte immediate.

Non soltanto patenti: nell’offerta anche CAC e permessi di soggiorno

Nexus pubblicizzava un catalogo più ampio di documenti personali. Oltre alle patenti statunitensi e internazionali, erano elencate carte d’identità, tessere di viaggio, tessere sanitarie, carte di soggiorno e autorizzazioni al lavoro.

Il servizio sosteneva di possedere anche scansioni delle tessere emesse dai dispensari di marijuana. Nei dati comparivano annotazioni come “CDL”, probabilmente riferita alle patenti per conducenti commerciali, e “CAC”, presumibilmente relativa alle Common Access Card.

Le CAC sono identità governative impiegate anche per autorizzare l’accesso fisico a edifici pubblici e ambienti protetti. La loro eventuale presenza nell’archivio amplia quindi l’impatto potenziale oltre la frode finanziaria, coinvolgendo procedure di sicurezza e controllo degli accessi.

Non è noto se le immagini delle CAC fossero accompagnate da dati sufficienti per un utilizzo operativo, né se siano stati registrati tentativi di impersonificazione. La sola esposizione richiede comunque verifiche da parte delle organizzazioni responsabili delle carte.

Nexus è offline, ma non è chiaro che cosa sia accaduto ai dati

Nexus è diventato irraggiungibile entro poche ore dalla pubblicazione dell’inchiesta. Non è stato chiarito se il servizio sia stato sequestrato, chiuso volontariamente dagli amministratori, spostato oppure reso indisponibile per un’altra ragione.

L’assenza del portale non equivale alla cancellazione dell’archivio. Gli operatori potrebbero aver conservato copie, distribuito i file ad altri criminali o predisposto una riapertura sotto un nome differente.

La scomparsa del servizio crea anche un problema per le vittime: non esiste al momento una procedura pubblica per verificare se una specifica patente sia stata inclusa. Non sono state annunciate notifiche generalizzate, misure di revoca o un programma coordinato per sostituire i documenti esposti.

L’FBI sta conducendo un’indagine. Non sono noti il numero confermato delle vittime, l’estensione geografica della raccolta o l’inizio della sottrazione.

Che cosa possono fare clienti e aziende coinvolte

Chi ha presentato una patente a un autonoleggio, a un dispensario o a un’altra attività dotata di scanner non può concludere automaticamente di essere stato colpito. Al tempo stesso, la rapidità osservata giustifica alcune precauzioni.

Le persone potenzialmente interessate possono:

• conservare ricevute e comunicazioni che permettano di ricostruire dove e quando il documento è stato scansionato;
• controllare rapporti creditizi, nuovi conti, richieste di finanziamento e cambiamenti anomali nei dati personali;
• valutare il blocco preventivo del credito o strumenti antifrode disponibili nella propria giurisdizione;
• contattare l’autorità che ha emesso la patente per conoscere le procedure applicabili in caso di sospetta esposizione;
• segnalare rapidamente eventuali tentativi di impersonificazione o utilizzi non autorizzati;
• informare l’ufficio di sicurezza competente se il documento coinvolto è una CAC o un’altra credenziale governativa.

Per le aziende, la priorità è verificare i log delle integrazioni con i servizi di scansione, gli accessi amministrativi, le esportazioni massive e le chiamate API anomale. Serve inoltre controllare quali immagini vengano conservate, per quanto tempo e con quali autorizzazioni.

La sostituzione della patente può ridurre alcuni rischi, ma non elimina le copie già sottratte né i dati anagrafici associati. Finché non saranno chiariti origine, durata e perimetro dell’accesso, il caso Nexus resterà una possibile compromissione ancora in corso, non un semplice archivio criminale ormai chiuso.