La verifica dell’identità è diventata una componente essenziale e spesso invisibile dell’infrastruttura economica, sia digitale che fisica. È un passaggio obbligato per una moltitudine di operazioni quotidiane: dal noleggio di un’auto all’accesso a determinati locali, dall’attivazione di servizi finanziari al completamento di procedure online, fino alla semplice dimostrazione della maggiore età. Tuttavia, il caso Nexus-IDScan, portato alla luce sulla base del lavoro investigativo di Brian Krebs, rivela le vulnerabilità e i rischi intrinseci di questo modello.
Un sito illecito, noto come Nexus, avrebbe affermato di aver reso consultabili e ricercabili oltre 150 milioni di patenti di guida e passaporti, riferiti a individui residenti negli Stati Uniti e in Canada. La potenziale origine di questi dati sensibili sarebbe un fornitore di servizi di verifica documentale, sollevando gravi interrogativi sulla sicurezza informatica e la privacy.
Il caso Nexus e i sospetti su IDScan
Secondo le informazioni diffuse, Nexus avrebbe pubblicizzato l’esistenza di un vasto database di documenti d’identità, indicando come fonte una delle principali società operanti nel settore della verifica dell’identità. Le indagini avrebbero permesso di collegare campioni di dati e specifici timestamp a IDScan, un’azienda ampiamente utilizzata da marchi tecnologici e consumer per il controllo di documenti governativi.
Al momento delle segnalazioni, IDScan risultava impegnata in un’indagine interna, mentre il Dipartimento della Difesa statunitense aveva dichiarato di essere a conoscenza delle informazioni e di valutarne la portata.
Il problema centrale di questa presunta esposizione non risiede unicamente nella sua dimensione numerica, che peraltro non è stata ancora verificata in modo indipendente. La questione cruciale è la natura stessa dei dati compromessi: immagini fronte-retro di documenti, fotografie personali, possibili metadati di scansione e informazioni contestuali legate alle transazioni. A differenza di una password, che può essere facilmente modificata, una patente o un passaporto sono documenti permanenti e non sostituibili con un semplice clic.
Una volta copiati e diffusi, tali documenti possono essere impiegati per alimentare frodi, impersonificazioni e tentativi di aggirare ulteriori controlli automatici, con conseguenze a lungo termine per le vittime.
Dettagli non confermati e il ruolo delle analisi legali
Un’analisi più cauta e utile per definire il contesto dell’incidente emerge da fonti legali. Viene evidenziato che IDScan.net non ha rilasciato conferme pubbliche né riguardo alla fonte della presunta violazione né all’estensione effettiva dell’evento. Inoltre, le cifre attribuite al marketplace Nexus non corrispondono a un conteggio verificato e indipendente delle persone effettivamente colpite. Questa distinzione è fondamentale nel campo della cybersecurity, dove le rivendicazioni dei mercati criminali possono spesso includere duplicati, dati obsoleti, record provenienti da fonti eterogenee o numeri gonfiati a fini commerciali e di marketing illecito.
Viene anche sottolineato che un individuo potrebbe essere stato processato dai sistemi di IDScan senza esserne consapevole, poiché molti fornitori di servizi di verifica dell’identità operano “dietro le quinte” per conto di clienti in settori diversificati come l’automotive, l’ospitalità, il retail, il fintech, il gaming, i trasporti, i dispensari di cannabis e i sistemi di accesso per visitatori. La raccomandazione implicita è di natura documentale: è consigliabile conservare ricevute, informative sulla privacy, schermate di consenso, contratti di noleggio e qualsiasi comunicazione che possa indicare quale fornitore sia stato utilizzato per la scansione o la verifica del proprio documento.
Il rischio strutturale della verifica dell’età
Questo caso emerge in un momento in cui governi e piattaforme digitali stanno discutendo o implementando nuove normative in materia di verifica dell’età, evidenziando ulteriormente i rischi legati alla conservazione.
