Índice de contenidos
Claves de la noticia
- IDScan.net reconoce acceso no autorizado a un entorno en la nube que alojaba documentos usados para verificar identidades.
- Una base con más de 150 millones de carnés de conducir y otros documentos quedó consultable por nombre, número y fecha de nacimiento.
- La empresa no ha precisado todavía cuántas personas resultaron afectadas ni por qué conservaba cada registro disponible.
IDScan.net investiga una intrusión en su nube después de que una base de datos con más de 150 millones de documentos de identidad apareciera a la venta. Los registros pueden incluir nombres, números, fechas de nacimiento y fotografías.
Una confirmación que llega después de una comprobación pública
IDScan.net ha publicado un aviso de incidente después de que el investigador Brian Krebs documentara un servicio clandestino capaz de buscar documentos de identidad almacenados por la compañía. La firma explica que detectó acceso no autorizado a un entorno de alojamiento en la nube y que contrató especialistas externos para investigar. Su comunicado habla de nombres, números de documento, fechas de nacimiento y, en algunos casos, imágenes. No ofrece aún una cifra cerrada de víctimas ni un calendario completo de la intrusión, dos ausencias que impiden medir el alcance individual con precisión.
Krebs describe una base con más de 150 millones de registros y afirma que pudo localizar su propio carné de conducir. La prueba aporta una verificación independiente especialmente relevante: no se limita a reproducir lo que decía el vendedor. Según su investigación, las consultas podían combinar datos básicos hasta recuperar una copia del documento. TechCrunch obtuvo además la confirmación de IDScan y situó el incidente en el negocio de verificación remota, utilizado por comercios, servicios financieros y plataformas que necesitan acreditar edad o identidad sin atender físicamente al cliente.
El problema no es solo cambiar una contraseña
Un carné de conducir reúne atributos persistentes: nombre legal, domicilio, fecha de nacimiento, fotografía, firma y un número emitido por la administración. A diferencia de una clave, esos elementos no se sustituyen con facilidad. Una copia permite construir perfiles, superar preguntas de conocimiento, preparar suplantaciones convincentes o combinar el documento con filtraciones anteriores. El riesgo depende de qué campos contenga cada registro y de los controles del servicio que reciba el documento, pero la longevidad del material eleva el daño potencial mucho después de cerrar el acceso original.
La exposición también cuestiona el ciclo de vida del dato. Una plataforma puede necesitar ver una imagen durante segundos para comprobar edad o identidad, pero eso no implica que deba conservarla indefinidamente ni mantenerla en un repositorio ampliamente consultable. Cifrado, segmentación, registros de acceso y borrado por plazo reducen superficies distintas; ninguno sustituye a los demás. La cifra de 150 millones muestra el efecto de concentración: un proveedor invisible para el consumidor se convierte en un punto único que conecta documentos entregados a muchas empresas diferentes.
Qué deben aclarar IDScan y sus clientes
La notificación inicial deja preguntas materiales. Falta saber cuándo comenzó y terminó el acceso, qué clientes aportaron los documentos, qué países o estados aparecen, si las imágenes estaban cifradas con claves separadas y cuántos registros fueron realmente descargados. También debe distinguirse entre el tamaño histórico del repositorio y la cantidad exfiltrada. Hasta que la investigación forense lo determine, la prudencia exige no asumir que todas las personas incluidas sufrieron el mismo nivel de exposición, pero tampoco reducir el episodio a una lista de nombres y fechas.
Para una persona potencialmente afectada, vigilar aperturas de crédito, activar alertas y desconfiar de mensajes que ya conocen datos reales resulta más útil que cambiar contraseñas sin relación con el incidente. En España, el documento más común sería el DNI y el marco de notificación es distinto, pero la lección es aplicable a cualquier proceso de alta que solicite una fotografía documental. Antes de subirla conviene comprobar quién realiza la verificación, durante cuánto tiempo la conserva y si existe una alternativa presencial o con credenciales digitales que revele menos información.
Una señal para todo el sector de verificación
La industria vende reducción del fraude, aunque para conseguirla acumula precisamente los materiales que más valor tienen para un defraudador. Ese intercambio solo es razonable si la retención es mínima y auditable. Los clientes corporativos deberían exigir inventarios por finalidad, borrado verificable y pruebas de que un operador no puede consultar documentos de múltiples cuentas. La transparencia posterior también importa: una cifra provisional, el tipo de documento y el período afectado permiten actuar antes de que concluya un informe que puede tardar meses.
IDScan afirma que está notificando a las partes pertinentes y colaborando con la investigación. El paso inmediato es necesario, pero la medida real de la respuesta será explicar la arquitectura que permitió reunir tantos documentos, ofrecer avisos individualizados y demostrar qué cambió. En un mercado que empuja la verificación de edad para acceder a más servicios, el incidente recuerda que pedir una identidad completa puede resolver un control local y crear, al mismo tiempo, un objetivo centralizado de alcance mucho mayor.
