Mariana Sousa 
Nexus — um serviço na dark web está a anunciar mais de 153 milhões de cartas de condução dos EUA e do Canadá à venda, um volume que revela uma fragilidade grave no modelo atual de verificação de identidade e que já motivou uma investigação das autoridades federais.
- Flash resumo: Nexus afirma ter 153 milhões de cartas de condução, mais de 10 milhões de outros cartões de identidade e milhões de documentos de viagem, e a alegada base cresceu cerca de 400.000 registos em 24 horas.
Escala do impacto e sinais que apontam para uma fuga massiva
O catálogo anunciado pelo serviço inclui, além das 153 milhões de cartas de condução, mais de 10 milhões de outros cartões de identificação, mais de 3 milhões de documentos de viagem internacionais e centenas de milhares de cartões médicos.
«É inevitável — a sociedade está há muito, muito, muito atrasada em reduzir a quantidade de KYC que fazemos.» — Peter Van Valkenburgh
Origem aparente, consequências para empresas e respostas em curso
Investigações traceiam a origem aparente dos ficheiros até a uma empresa de verificação de identidade sediada em New Orleans, cuja tecnologia processa, segundo dados da própria, mais de 21 milhões de verificações por mês em mais de 20.000 locais.
As autoridades federais abriram uma investigação, conduzida pelo escritório local competente, para apurar a origem e o alcance da alegada exfiltração de dados. Entretanto, o serviço anunciado na dark web deixou de estar disponível e foi substituído por uma mensagem a indicar que já não existe.
O que acha? Acha que as empresas deveriam reduzir a recolha de documentos físicos para verificações? Para acompanhar mais, aceda à nossa editoria.
Perguntas Frequentes
Que documentos o serviço Nexus afirma ter disponíveis e em que quantidade?
Nexus afirma possuir 153 milhões de cartas de condução dos Estados Unidos e do Canadá, mais de 10 milhões de outros cartões de identificação, mais de 3 milhões de documentos de viagem internacionais e centenas de milhares de cartões médicos — um conjunto que, se verdadeiro, abrange muitas classes de dados sensíveis.
Quem está a ser referido como possível origem dos dados e que escala tem essa empresa?
A investigação aponta para uma empresa de verificação de identidade sediada em New Orleans, identificada publicamente como IDScan.net, que processa mais de 21 milhões de verificações por mês e opera em mais de 20.000 locais, o que ajuda a explicar como uma única cadeia de fornecedores pode concentrar grandes volumes de dados.
Que evidências existem de que os ficheiros são reais e não apenas uma afirmação dos operadores?
A alegada base contém múltiplas variantes de imagem por documento (frente, verso e versões infravermelhas/ultravioleta) e também apresentou documentos pertencentes a figuras governamentais, além de metadados e carimbos temporais que coincidem com interações reais como estadias em hotéis e alugueres de automóvel.
Quem está a investigar o caso e que medidas foram anunciadas?
As autoridades federais iniciaram uma investigação através do respetivo escritório de campo em New Orleans para apurar a origem e o vetor da fuga de dados; paralelamente, a empresa apontada declarou estar a conduzir uma investigação interna, sem ainda confirmar responsabilidade nos sistemas reportados.
Que soluções existem para reduzir o risco de criar grandes repositórios de documentos pessoais?
Entre as soluções apontadas estão tecnologias de prova sem revelação total, como as zero‑knowledge proofs, que permitem validar factos específicos (por exemplo, ter mais de 21 anos) sem partilhar o documento completo; especialistas defendem também políticas de minimização de dados e mudanças regulatórias sobre retenção e verificação.
