IDScan.net: 153 mi de carteiras de habilitação à venda — FBI investiga

O incidente começa com uma alegação de ator — o Nexus postou no Exploit em 31 de agosto —, mas rapidamente acumula corroboração independente de peso incomum: Krebs verificou o banco de dados com dados próprios e de terceiros consentidos; Zach Edwards localizou o próprio registro com timestamp rastreável a uma transação específica na Planet13; Reuters confirmou a abertura de inquérito do FBI; o FBI confirmou diretamente a múltiplos veículos. Isso coloca o caso bem acima de 'claimed', mas ainda abaixo de 'confirmed': a IDScan.net não admitiu violação, e nenhuma autoridade regulatória emitiu conclusão formal.

A evidência técnica central são os pares IR/UV. Scanners de documentos de identidade profissionais capturam imagens em luz infravermelha e ultravioleta para detectar falsificações — é a assinatura do hardware da IDScan.net. Essa combinação de imagens, com timestamps em GMT (padrão de log centralizado de servidor), é estruturalmente incompatível com scraping de fotos planas ou com repackaging de bases anteriores. O método MORGUE descarta 'recycled' com confiança moderada.

O detalhe da Caesars é analiticamente relevante e contraditório: a empresa consta no site da IDScan.net como cliente, mas um porta-voz negou vínculo ativo desde fevereiro de 2025 e afirmou não ter autorizado retenção de dados. A IDScan.net, por sua vez, disse à Caesars que o incidente 'não deve ter impacto' sobre ela — o que implica que a empresa já tem algum entendimento interno do escopo do que foi exposto, mesmo sem divulgação pública. Esse é o detalhe que outros não olharam: uma empresa que afirma estar 'investigando' e simultaneamente comunica a um cliente que ele não será afetado não está em estado de ignorância total.

A narrativa do ator (exfiltração contínua por mais de um ano, contador crescendo 400.000 registros em 24 horas) não pode ser descartada como auto-promoção vazia: é consistente com logs de crescimento observados por pesquisadores e com a escala plausível de um fornecedor que processa 21 milhões de verificações mensais. Se verdadeira, a janela de comprometimento pode retroagir ao menos a meados de 2025, o que alarga drasticamente o universo de vítimas.

Um ângulo regulatório crítico e pouco explorado pela cobertura: não existe padrão federal nos EUA obrigando empresas de verificação de identidade a deletar imagens de documentos após a transação — diferentemente do PCI DSS para dados de cartão. A IDScan.net operava dentro da lei ao reter scans IR/UV de milhões de verificações. O caso cria pressão concreta sobre reguladores (FTC, legislaturas estaduais) para estabelecer limites de retenção para esse setor. Sob a lei de Louisiana (La. R.S. 51:3071), a empresa tem prazo de 60 dias a partir da descoberta para notificar afetados — e deve notificar o Attorney General estadual em até 10 dias após o envio das notificações aos consumidores.

O que contraria a narrativa dominante: Reuters não conseguiu estabelecer a origem dos dados de forma independente. Não se pode descartar que parte dos registros venha de outro fornecedor de ID que use tecnologia similar, ou que o Nexus tenha agregado dados de múltiplas fontes e atribuído tudo à IDScan.net para elevar o preço percebido da base. A evidência de timestamp é forte mas não é prova forense concluída.

Os registros alegados incluem scans de frente e verso de CNHs com imagens infravermelhas e ultravioletas — informação que vai além do que uma fotografia plana captura e que pode ser usada para produzir falsificações calibradas para passar em verificações de autenticidade de documentos. Diferentemente de senhas ou números de cartão, documentos de identidade não podem ser 'resetados'. Pessoas cujos documentos aparecem no banco de dados enfrentam risco elevado de abertura fraudulenta de crédito, fraude de identidade sintética e, em casos específicos (sobreviventes de violência doméstica, testemunhas protegidas), riscos de segurança física. O banco de dados inclui registros de autoridades de alto escalão, incluindo o Secretário de Defesa dos EUA Pete Hegseth e um diretor-assistente do FBI — o que expandiu o interesse do FBI no caso. Clientes da Hertz são particularmente expostos: é o segundo incidente via fornecedor dessa locadora em 14 meses (o primeiro foi o breach da Cleo/Cl0p em 2024-2025). Empresas que integram a API da IDScan.net sem DPA (Data Processing Agreement) adequado podem enfrentar responsabilidade secundária sob legislações estaduais e, para operações com dados de europeus, sob o GDPR.