153 millones de licencias de conducir a la venta: el sitio Nexus y la filtración que nadie vio venir

El periodista de seguridad Dan Goodin alquiló un auto, como hace cualquiera. Horas después, el escaneo de su propia licencia de conducir —frente, dorso, y hasta las capas infrarroja y ultravioleta que llevan las medidas de seguridad del documento— ya estaba a la venta en un sitio nuevo del que casi nadie había oído hablar: Nexus.

153 millones de razones para preocuparse

El catálogo de Nexus no se limita a licencias de conducir: incluye cédulas de identidad, tarjetas de viaje, credenciales médicas, Common Access Cards militares y hasta autorizaciones de trabajo. En total, más de 153 millones de documentos escaneados. Lo más inquietante no es solo el volumen sino la velocidad: los propios escaneos de Goodin aparecieron a la venta apenas horas —no semanas ni meses— después de haberlos presentado en la empresa de alquiler. Eso llevó a Goodin a una conclusión incómoda: "el momento en que aparecen disponibles nuevos escaneos... probablemente significa que Nexus tiene acceso casi en tiempo real" al flujo de datos.

El eslabón débil: un verificador de identidad, no la rentadora

El origen señalado no es Hertz ni ninguna de las empresas de alquiler de autos que Goodin usó, sino IDScan.net, un servicio con sede en Nueva Orleans que esas empresas contratan para escanear y verificar documentos de identidad en el mostrador. IDScan.net había anunciado públicamente un acuerdo con la cadena de dispensarios de cannabis Planet13 y listaba a Hertz entre sus clientes. El patrón es uno que se repite cada vez más en el mundo de las filtraciones: el problema no está en la empresa que uno elige como cliente, sino en el proveedor tercero al que esa empresa le delega una función sensible —en este caso, verificar identidad— sin que el usuario final tenga forma de saberlo ni de opinar.

Entre las víctimas confirmadas están el propio Goodin, el periodista especializado en seguridad Brian Krebs, la madre de Krebs, y hasta un subdirector del FBI. El FBI ya está investigando el caso, según reporta el artículo, aunque todavía no hay una respuesta pública ni de IDScan.net ni de las empresas que usaron el servicio.

Qué hacer con esto si sos una pyme

Muchos negocios chicos en Argentina también piden y escanean documentos de identidad —para alquilar equipamiento, dar de alta a un empleado, verificar un cliente en una operación grande— y muchas veces tercerizan ese escaneo en algún software o servicio externo sin auditar demasiado qué hace esa empresa con los datos ni cuánto tiempo los guarda. El caso de Nexus es un buen recordatorio de que la cadena de responsabilidad sobre un dato sensible no termina en el mostrador donde se pidió: sigue hasta el último proveedor que lo procesa. Antes de sumar una herramienta de verificación de identidad, vale la pena preguntar explícitamente dónde y por cuánto tiempo se guardan esos escaneos, y si existe alguna instancia de auditoría externa sobre ese proveedor. Guardar una foto de un DNI en la nube de un tercero sin esas garantías es, ni más ni menos, dejarle la puerta abierta a un problema que después es carísimo de arreglar.