Diogo Costa 
Nexus — um serviço recém-aparecido no darkweb que oferece scans digitais de cartas de condução, está no centro de uma investigação federal após alegações de que disponibiliza mais de 153 milhões de registos dos EUA e Canadá. As imagens incluem versões em infravermelho e ultravioleta com timestamps que ajudam a traçar quando e onde os documentos foram digitalizados.
- Flash resumo: Nexus diz ter 153M+ cartas de condução; registos incluem IR/UV e timestamps, mostram crescimento de ~400.000 registos em 24 horas e levaram o gabinete de Nova Orleães do FBI a abrir um inquérito.
O que contém o ficheiro e a dimensão do alegado roubo
O catálogo atribuído ao Nexus lista mais de 153 milhões de cartas de condução de cidadãos dos Estados Unidos e do Canadá, além de mais de 10 milhões de cartões de identificação, mais de três milhões de documentos de viagem e pelo menos 579.000 cartões médicos. Uma pesquisa em branco na plataforma retornou cerca de 11,5 milhões de páginas de resultados.
Os registos parecem incluir múltiplos formatos de imagem por documento: scans básicos de frente e verso, versões em infravermelho e ultravioleta e, por vezes, metadados com datas e timestamps. A listagem de cartas de condução aumentou quase 400.000 unidades num espaço de 24 horas, o que sugere carregamentos regulares de dados.
“Temos estado a exfiltrar continuamente novos dados há mais de um ano para a nossa base privada,” afirmava um anúncio de apresentação do serviço, segundo a cópia disponível no site no momento em que foi analisado.
Indicadores de origem e riscos práticos
Há fortes indícios de que as imagens terão vindo de um fornecedor de verificação de identidade utilizado por cadeias de retalho e serviços presenciais. O gabinete de Nova Orleães do FBI abriu um inquérito oficial sobre um aparente incidente envolvendo a empresa idscan.net, depois de várias amostras mostrarem timestamps coincidentes com viagens e aluguéis de automóveis.
Vários casos apontam para interacções com empresas de aluguer de viaturas: registos com timestamps próximos entre familiares coincidiram com a entrega das cartas a um representante de uma empresa de aluguer, e várias pessoas cujo documento apareceu referiram ter entregue o documento a um balcão de aluguer da Hertz. A idscan.net é referida como prestadora de serviços de verificação a centenas de dispensários de cannabis e a várias grandes marcas, embora existam declarações públicas de que nem todas as empresas listadas ainda mantinham relações ativas no período referido.
O que acha? Acha que isto altera a forma como partilha documentos pessoais? Para acompanhar mais sobre segurança digital e privacidade, aceda à nossa editoria de Tecnologia.
Perguntas Frequentes
Que dados concretos o Nexus afirma ter à venda e em que quantidade?
O Nexus afirma ter mais de 153 milhões de cartas de condução de cidadãos dos Estados Unidos e do Canadá, além de 10 milhões de cartões de identificação, mais de três milhões de documentos de viagem e pelo menos 579.000 cartões médicos. A plataforma mostrou cerca de 11,5 milhões de páginas de resultados numa pesquisa em branco.
Como se sabe que as imagens do Nexus têm infravermelho, ultravioleta e timestamps?
O FBI está a investigar o Nexus? Que ramo e que alvo da investigação estão envolvidos?
O gabinete de Nova Orleães do FBI abriu um inquérito oficial relacionado com um aparente incidente envolvendo a empresa idscan.net. Agentes do departamento de cibercrime juntaram-se a uma conferência com investigadores séniores para avaliar a origem dos dados e a ligação entre fornecedores de verificação e os ficheiros publicados.
Que empresas aparecem associadas aos sistemas de verificação potencialmente afetados?
A idscan.net surge como prestadora de verificação a vários clientes, com referências a marcas como Hertz, Target, FedEx, Motorola Solutions e Jack Henry; também aparece listada a Caesars Entertainment, embora existam declarações públicas a dizer que essa relação não estava activa no período relevante.
De que forma o Nexus apresentava provas antes de desaparecer da rede?
O Nexus permitia pré-visualizar registos antes da compra, com informação visivelmente redigida e, quando disponível, fotos do titular. Em anúncios, o serviço mostrou que os registos podiam incluir até seis imagens por documento e o total de cartas de condução listadas cresceu quase 400.000 em 24 horas antes do site do serviço desaparecer do darkweb.
