In questo articolo Indice dei contenuti 2 sezioni
Oltre 153 milioni di patenti di guida statunitensi e canadesi, insieme a una montagna di altri documenti d’identità, sono finite in vendita sul dark web per un periodo limitato, e tra quelle schede compariva anche quella del segretario alla Difesa americano Pete Hegseth. Il servizio si chiamava Nexus e al momento non risulta più raggiungibile, ma il catalogo che sbandierava era imponente: 153 milioni di patenti, 10 milioni di carte d’identità, 1,9 milioni di documenti di viaggio, 1,3 milioni di patenti internazionali, 579 mila tessere sanitarie, 429 mila common access card, 91 mila permessi di soggiorno, 77 mila autorizzazioni al lavoro e altri 5 milioni di documenti vari. Tutto materiale che sarebbe arrivato da un fornitore di servizi di autenticazione documentale con sede in Louisiana.
La pubblicità del servizio girava su Exploit, forum di criminalità informatica in lingua russa. Chi lo promuoveva aveva pubblicato come campione gratuito la patente del giornalista specializzato in sicurezza Brian Krebs, il che ovviamente ha attirato la sua attenzione. Nella stessa vetrina era visibile anche l’anteprima dei dati di Hegseth, dettaglio non da poco considerando il ruolo che ricopre. Da lì è partita una verifica più approfondita, con ricerche mirate sui dati di amici e familiari che avevano dato il consenso. Il risultato ha confermato che si trattava di informazioni autentiche.
Il filo comune tra le vittime della fuga di dati
C’era un elemento che accomunava quasi tutte le persone ritrovate nel database: avevano noleggiato un’auto con Hertz. Un indizio pesante, ma non l’unico. Krebs ha parlato anche con Zach Edwards, ricercatore che si occupa di sicurezza e privacy, il quale ha trovato i propri dati dentro Nexus pur non avendo noleggiato alcun veicolo di recente. Aveva però mostrato il documento a un dispensario di cannabis Planet13. Le marche temporali presenti sulle scansioni delle patenti e degli altri documenti coincidevano con i momenti in cui le vittime avevano presentato l’identificativo presso quelle due aziende, il che ha di fatto chiuso il cerchio sulle origini della violazione dei dati.
Né Hertz né Planet13 gestiscono però l’autenticazione in proprio. Entrambe si appoggiano a un fornitore esterno, e quel fornitore è IDScan. È qui che sembra concentrarsi il punto debole dell’intera vicenda. L’azienda, contattata direttamente, ha fatto sapere di aver avviato accertamenti interni. “In questo momento non posso condividere ulteriori informazioni, ma gli aggiornamenti che avete fornito sono stati graditi e utili all’indagine del nostro team”, ha dichiarato Jillian Kossman, responsabile marketing e operations di idscan.net. Nel frattempo si è mosso anche l’FBI, con l’ufficio di New Orleans che ha aperto un’indagine ufficiale sulla vicenda.
Perché una fuga di documenti d’identità fa più paura di altre
La mole di materiale rimasta brevemente disponibile sul dark web è di quelle che preoccupano davvero. Un episodio simile aveva colpito Discord dopo l’attacco a un suo fornitore terzo, con l’esposizione di 70 mila documenti governativi. Casi del genere alimentano i dubbi degli esperti di privacy sulla spinta verso i sistemi di verifica dell’età online, tanto che la EFF ha chiesto al governatore della California di porre il veto sulla legge che li renderebbe obbligatori.
Il problema non riguarda solo i controlli invasivi e le implicazioni sul Primo Emendamento. La circolazione di dati così sensibili può moltiplicare i casi di furto d’identità. Le patenti vengono accettate quasi ovunque per aprire linee di credito e conti bancari, e in molti dei documenti finiti nel database erano presenti scansioni fotografiche, a ultravioletti e a infrarossi. C’è poi un risvolto ancora più delicato, quello che riguarda le persone in condizioni di fragilità: chi sta scappando da situazioni di violenza domestica e chi si trova sotto programma di protezione testimoni rischia di vedere compromessa non solo la propria privacy, ma la propria incolumità.
