FBI apura possível vazamento de 150 milhões de documentos de identidade nos Estados Unidos e no Canadá
O FBI investiga um possível ataque cibernético que teria exposto mais de 150 milhões de carteiras de motorista e passaportes emitidos nos Estados Unidos e no Canadá. Os documentos estariam disponíveis em uma plataforma de busca associada ao serviço de roubo de identidade Nexus, identificado em ambientes da dark web.
A suspeita surgiu após uma investigação jornalística conduzida por Brian Krebs. O Nexus anunciava acesso a uma base com informações de documentos governamentais e afirmava acrescentar aproximadamente 500 mil novos registros por dia. De acordo com os operadores, os dados teriam sido obtidos de uma grande empresa especializada em verificação de identidade.
Caso a alegação seja verdadeira, o volume e a frequência das atualizações podem indicar que os criminosos tiveram acesso contínuo, ou quase em tempo real, aos sistemas da organização atingida. A base aparentemente não se limitava a números e dados impressos nos documentos: também poderia conter fotografias dos titulares, quando disponíveis.
A autenticidade de parte do material foi reforçada depois que Brian Krebs encontrou sua própria carteira de motorista entre os registros pesquisáveis. O pesquisador de segurança Zach Edwards também localizou seu documento na plataforma. Outro nome identificado foi o de Pete Hegseth, secretário de Defesa dos Estados Unidos. O Departamento de Defesa declarou estar ciente das informações e avaliando o caso.
Durante a apuração, Krebs e Edwards apontaram a IDScan como uma possível origem dos documentos. Com sede na Louisiana, a empresa oferece soluções para leitura, validação e autenticação de documentos oficiais. Seus serviços são utilizados por companhias de tecnologia, varejo e outros setores que precisam confirmar a identidade de clientes em larga escala.
A IDScan ainda não confirmou que seus sistemas tenham sido invadidos. Jillian Kossman, diretora de operações da companhia, informou que a empresa conduz uma investigação interna. O FBI também confirmou que analisa o episódio, mas não divulgou detalhes sobre o alcance da apuração, possíveis suspeitos ou a origem técnica dos dados.
Pouco depois da divulgação da investigação, o Nexus deixou de funcionar. A interrupção, embora possa estar relacionada à exposição pública do caso, não comprova por si só que a plataforma tenha sido derrubada por autoridades ou que os dados tenham sido removidos definitivamente.
Por que o vazamento é tão grave
Carteiras de motorista e passaportes reúnem informações altamente valiosas para criminosos. Nome completo, data de nascimento, endereço, número do documento, fotografia e outros elementos podem ser usados para abrir contas, criar cadastros falsos, solicitar crédito, aplicar golpes de engenharia social e produzir identidades sintéticas.
A presença de fotografias aumenta o risco de fraudes que dependem de reconhecimento facial ou de processos de validação remota. Criminosos podem tentar combinar a imagem do titular com dados adulterados, explorando falhas em sistemas automatizados de identificação.
O caso também chama atenção porque ocorre em meio à expansão de leis que exigem comprovação de idade para acesso a determinados serviços digitais. Em várias iniciativas, usuários precisam enviar passaportes, carteiras de motorista ou imagens faciais a empresas privadas. Quanto maior a quantidade de organizações que armazenam essas informações, maior também é a superfície disponível para ataques, abusos internos e falhas de configuração.
Especialistas em privacidade defendem que empresas desse setor adotem o princípio da minimização de dados. Isso significa coletar apenas o que for indispensável, manter as informações pelo menor período possível e apagar registros quando a finalidade original for concluída. A retenção indefinida de cópias integrais de documentos amplia os danos potenciais em caso de invasão.
Outro ponto crítico é a cadeia de fornecedores. Uma empresa pode contratar um serviço de verificação de identidade e, sem perceber, transferir dados sensíveis para subcontratadas responsáveis por armazenamento, processamento ou análise antifraude. Cada participante adicional precisa manter controles rigorosos de acesso, criptografia, monitoramento e resposta a incidentes.
O que pode acontecer com as pessoas afetadas
Se o vazamento for confirmado, os titulares dos documentos podem enfrentar tentativas de fraude durante anos. Informações como número de passaporte e data de nascimento não podem ser simplesmente alteradas, diferentemente de uma senha. Por isso, a exposição pode continuar produzindo riscos mesmo depois que a plataforma criminosa sair do ar.
Pessoas que suspeitam estar envolvidas devem monitorar movimentações bancárias, solicitações de crédito, contas desconhecidas e mensagens que peçam confirmação de dados pessoais. Também é recomendável desconfiar de contatos que se apresentem como bancos, órgãos públicos ou empresas de tecnologia e utilizem informações reais para ganhar credibilidade.
As vítimas devem evitar o envio de novos documentos por canais recebidos em mensagens inesperadas. Quando houver dúvida, o contato deve ser feito diretamente pelos canais oficiais da instituição. Também é importante registrar ocorrências, comunicar bancos e acompanhar alertas de crédito quando esse recurso estiver disponível.
Até o momento, não há confirmação pública de que a IDScan tenha sido comprometida nem de que os 150 milhões de registros tenham origem comprovada na empresa. A ligação foi estabelecida a partir da investigação independente e das características dos dados encontrados. A confirmação definitiva dependerá de perícias técnicas, análise dos servidores envolvidos e declarações oficiais das autoridades e da companhia.
Se o número anunciado for validado, o episódio poderá entrar para a lista das maiores violações de documentos de identidade já registradas. Mais do que medir o tamanho da base, a investigação deverá esclarecer por quanto tempo os invasores tiveram acesso, quais dados foram efetivamente copiados e se outras empresas ou países também foram afetados.