Marketplace da dark web vendia digitalizações de 153 milhões de carteiras de motorista

Resumo

Um marketplace da dark web chamado Nexus estava vendendo digitalizações digitais de mais de 153 milhões de carteiras de motorista dos EUA e do Canadá, além de milhões de outros cartões de identidade, documentos de viagem e cartões médicos — completos com as camadas infravermelha e ultravioleta que os scanners usam para detectar falsificações. O jornalista de segurança Brian Krebs rastreou os dados até a IDScan.net, empresa cujo hardware de digitalização opera por trás da checagem de documentos na Hertz, na Target, na FedEx e em mais de 1.000 dispensários de maconha. A IDScan.net confirmou apenas que está investigando o caso, não que sofreu uma invasão nem como ela teria ocorrido. O FBI abriu uma investigação criminal no dia em que Krebs publicou a matéria, e o marketplace saiu do ar logo depois.

O que aconteceu

Em 31 de agosto de 2026, uma fonte alertou o jornalista de segurança Brian Krebs sobre um serviço de roubo de identidade na dark web chamado Nexus, anunciado no fórum russo de cibercrime Exploit, que incluía a própria carteira de motorista de Krebs, emitida na Virgínia, como amostra gratuita.

O Nexus oferecia mais de 153 milhões de carteiras de motorista dos EUA e do Canadá, mais de 10 milhões de outros cartões de identidade, mais de 3 milhões de documentos de viagem e mais de 579 mil cartões médicos, incluindo cartões de dispensários de maconha, como digitalizações digitais de frente e verso, algumas com versões em infravermelho e ultravioleta.

Krebs constatou que as marcações de data e hora embutidas nas imagens vazadas remontavam a pelo menos junho de 2025, e que quase 400 mil novos registros de carteira de motorista foram adicionados em um único período de 24 horas que ele observou, indício de que a coleta ainda estava ativa. Os vendedores afirmaram algo mais amplo no próprio anúncio: “Estamos exfiltrando novos dados continuamente para o nosso banco de dados privado há mais de um ano.”

Krebs rastreou os dados até a IDScan.net, empresa de verificação de identidade sediada em Nova Orleans, por meio de evidências circunstanciais: as marcações de data e hora nas imagens vazadas coincidiam com datas e locais em que pessoas identificadas haviam usado dispositivos de digitalização de identidade em balcões de aluguel da Hertz, as capturas em infravermelho e ultravioleta correspondiam à tecnologia documentada da IDScan.net, e a carteira de clientes da empresa inclui Hertz, Target, FedEx e mais de 1.000 dispensários de maconha.

A IDScan.net não confirmou publicamente acesso não autorizado nem a extensão de qualquer comprometimento. Jillian Kossman, líder de marketing e operações da empresa, disse a Krebs que a empresa não podia compartilhar mais informações além de reconhecer uma investigação em andamento: “Neste momento não posso compartilhar nenhuma informação adicional, mas as atualizações que vocês forneceram foram bem-vindas e úteis para a investigação da nossa equipe.”

O escritório do FBI em Nova Orleans abriu uma investigação em 1º de setembro de 2026, no dia em que Krebs publicou a matéria, e líderes seniores da divisão cibernética do órgão participaram de uma ligação com o jornalista. O serviço Nexus saiu do ar logo depois, exibindo uma mensagem de que não estava mais disponível.

Um porta-voz da Caesars Entertainment disse a Krebs que a empresa não era cliente da IDScan.net desde fevereiro de 2025, não tinha contas ativas do VeriScan durante o período da invasão e não havia autorizado a retenção de dados, acrescentando que a Caesars não espera nenhum impacto em suas operações.

Dois veículos corroboraram a escala do vazamento de forma independente. A Malwarebytes noticiou os mesmos números — 153 milhões de carteiras de motorista, 10 milhões de cartões de identidade, 3 milhões de documentos de viagem, 579 mil cartões médicos — e que a IDScan.net disse estar investigando. A Reuters informou que a IDScan.net não respondeu aos seus pedidos repetidos de comentário, e que o FBI confirmou que está investigando. O Biometric Update, somando todas as categorias de documentos em vez de considerar apenas as carteiras de motorista, chegou a um total de mais de 170 milhões de pessoas afetadas.

O que isso significa (e o que não significa)

Os registros expostos não são apenas nomes e números. São as digitalizações completas de frente e verso, incluindo as capturas em infravermelho e ultravioleta, nas quais empresas se baseiam para distinguir um documento verdadeiro de um falso. Larry Baldwin, pesquisador-chefe de inteligência da Cybera, resumiu o problema assim: “Justo quando parece que estamos avançando na melhoria dos controles de autenticação por meio de sistemas de verificação de carteira de motorista, isso acontece, e a própria base da qual essas melhorias dependem fica comprometida.” Zach Edwards, pesquisador de segurança e privacidade, tirou uma lição de política pública do episódio: “Este episódio deveria reforçar ainda mais a determinação de quem luta contra os esquemas de verificação de identidade on-line que exigem que inúmeros provedores peçam carteiras de motorista para dar acesso a serviços, sob o pretexto de proteger crianças.”

O que não se segue disso é que a IDScan.net tenha sido confirmada como a origem do vazamento. As próprias declarações da empresa, por meio de Kossman, param no reconhecimento de uma investigação — a empresa não disse ter sofrido uma invasão, nem como ela teria acontecido. A atribuição à IDScan.net se apoia no cruzamento circunstancial feito por Krebs entre marcações de data e hora, confirmações de vítimas e a tecnologia de digitalização, não em uma admissão da empresa. E a alegação de exfiltração “há mais de um ano” vem do próprio anúncio dos vendedores no marketplace; a revisão que o próprio Krebs fez das imagens vazadas remonta apenas até junho de 2025.

O que ainda não sabemos

A causa técnica da invasão — credenciais expostas, armazenamento mal configurado, uma conta comprometida ou outra coisa — não foi divulgada por nenhuma das fontes revisadas. A IDScan.net não confirmou ser a empresa invadida. Também não está claro como a invasão chegou a ser descoberta: o registro mostra que ela veio à tona por meio da denúncia de uma fonte a um jornalista sobre um marketplace criminoso, não pelos próprios sistemas de detecção da IDScan.net. O número exato de pessoas afetadas segue indefinido, já que o número de 153 milhões cobre apenas carteiras de motorista, enquanto a contagem combinada de documentos é reportada em outro lugar como superior a 170 milhões, e uma mesma pessoa pode aparecer em mais de um documento. Não está estabelecido se algum órgão regulador além da investigação criminal do FBI — procuradores-gerais estaduais, a FTC ou autoridades de privacidade canadenses — abriu sua própria apuração, nem se a IDScan.net ou suas empresas clientes pretendem notificar diretamente as pessoas afetadas.