Il data breach IDScan riporta al centro del dibattito una questione spesso sottovalutata nella trasformazione digitale: la pratica dei fornitori di verifica dell’identità di conservare per anni copie o scansioni di documenti altamente sensibili. La società IDScan ha confermato una violazione che ha comportato il furto di patenti di guida dai suoi sistemi cloud. Tra i dati sottratti figurano nomi completi, numeri di patente e numeri identificativi presenti su altri documenti governativi, come i passaporti.
La ricostruzione della violazione IDScan
L'azienda, con sede in Louisiana, fornisce tecnologie di controllo documentale a una vasta gamma di clienti aziendali, dai locali di intrattenimento ai dispensari di cannabis. La conferma pubblica della violazione è giunta dopo le prime segnalazioni del giornalista Brian Krebs, il quale aveva individuato un sito nel dark web che permetteva di consultare informazioni relative a oltre 150 milioni di persone negli Stati Uniti e in Canada, incluse fotografie associate alle patenti. Anche il Pentagono era a conoscenza della presunta violazione e l’FBI stava conducendo indagini.
Un aspetto cruciale rimane da chiarire: IDScan non ha specificato con precisione quante persone siano state effettivamente coinvolte.
La società ha dichiarato che l’indagine è ancora in corso, mentre sul proprio sito afferma di detenere oltre 150 milioni di record di patenti. Questa discrepanza tra i record posseduti, quelli esposti e le persone potenzialmente colpite è tipica degli incidenti complessi, ma non attenua la gravità del caso. Una patente, infatti, non è una semplice credenziale, bensì un documento persistente e difficile da sostituire, estremamente utile per frodi, impersonificazione e la creazione di identità sintetiche.
Le implicazioni per la conservazione dei documenti e la sicurezza cloud
La violazione ha esposto oltre 170 milioni di documenti d’identità scansionati, tra cui circa 153 milioni di patenti. IDScan.net ha ricevuto informazioni su un possibile accesso non autorizzato intorno al 1° settembre 2026, indicando che un soggetto terzo potrebbe aver consultato o copiato dati dei clienti archiviati nel cloud.
L’azienda ha dichiarato di collaborare con le autorità federali e di offrire servizi gratuiti di protezione dell’identità e monitoraggio del credito ai soggetti potenzialmente impattati.
La differenza tra le cifre relative ai documenti compromessi indica un perimetro ancora in fase di valutazione. Questo caso intensifica l'attenzione sulla conservazione dei dati, la sicurezza cloud, la minimizzazione dei dati e l'adozione di archivi cifrati o record tokenizzati, in alternativa alla conservazione a lungo termine delle immagini grezze dei documenti.
