Un Año de Acceso Silencioso, Y Luego Una Confirmación
IDScan, un servicio de verificación de identidad con sede en Luisiana que usan locales de entretenimiento y dispensarios de cannabis para comprobar los documentos de sus clientes, confirmó el 10 de septiembre que unos hackers habían robado registros de identidad de su almacenamiento en la nube. El periodista de seguridad Brian Krebs había informado del incidente subyacente el 2 de septiembre, después de que una plataforma de la dark web empezara a ofrecer acceso consultable a una base de datos que los vendedores llamaron Nexus, más de 11,5 millones de páginas de resultados a razón de unos quince registros por página. Los atacantes afirmaron haber estado extrayendo continuamente nuevos datos de IDScan durante más de un año antes de que apareciera el anuncio, lo que significa que la exposición no fue un incidente puntual sino una operación de recolección larga y no detectada.
La oficina del FBI en Nueva Orleans abrió una investigación formal el 1 de septiembre, y el Pentágono confirmó que tenía conocimiento de la presunta brecha después de que el propio registro del secretario de Defensa de EE.UU., Pete Hegseth, apareciera entre los archivos comprometidos, verificado de forma independiente por un investigador de seguridad. La declaración pública de IDScan apenas ofreció más que un reconocimiento del hecho, diciendo a un periodista que todavía no podía compartir detalles adicionales mientras continuaba su propia investigación. El acceso completo a la base de datos filtrada supuestamente requería un pago, la estructura de una venta de extorsión más que de una simple filtración.
Qué Se Robó Exactamente
Los registros robados se dividen por tipo de documento, y la escala supera con claridad cualquier brecha de documentos de identidad comparable reportada este año. Las licencias de conducir constituyen la gran mayoría, pero la colección abarca varias otras categorías de documentos en las que los clientes de IDScan confían para comprobaciones de edad e identidad.
| Tipo de documento | Registros expuestos |
|---|---|
| Licencias de conducir de EE.UU. y Canadá | 153 millones o más |
| Otras tarjetas de identificación | 10 millones o más |
| Pasaportes y documentos de viaje | 3 millones o más |
| Tarjetas médicas y de dispensarios | 579.000 o más |
Solo Ontario representó unas 473.000 de las licencias canadienses del conjunto, un recordatorio de que la brecha de un proveedor con sede en EE.UU. no respeta la frontera en la que operan sus clientes. Cada registro incluye un nombre completo y un número de documento oficial, y en la mayoría de los casos la propia página escaneada con la foto, exactamente la combinación que necesitan los ladrones de identidad para abrir cuentas o superar comprobaciones automatizadas en otros sitios.
El Vacío Que Su Propio Contrato Con El Proveedor Debería Cerrar
Una empresa de la UE o del Reino Unido que externaliza la verificación de edad o de identidad, cada vez más una obligación legal que una comodidad bajo normas como las disposiciones de verificación de edad de la Ley de Servicios Digitales, entrega a un proveedor de un tercer país una copia de los documentos oficiales de sus clientes y luego tiene casi ninguna visibilidad de cuánto tiempo ese proveedor guarda silencio sobre una brecha antes de decir algo. El RGPD da a un responsable del tratamiento 72 horas desde que tiene conocimiento de una brecha para notificar a su autoridad de control, y NIS2 da a una entidad esencial o importante tan solo 24 horas para una alerta temprana. Ninguno de esos plazos alcanza a IDScan directamente, porque el reloj solo empieza a correr cuando el responsable del lado de la UE tiene conocimiento, y un procesador estadounidense no tiene un deber legal equivalente de avisar rápidamente a sus clientes, ni de avisar en absoluto, más allá de lo que especifique el propio contrato de tratamiento de datos.
Ese vacío es la parte accionable de esta historia. Una empresa que depende de un proveedor de verificación de identidad ya debería saber exactamente qué plazo de notificación establece por escrito su propio contrato de tratamiento de datos para ese proveedor, en lugar de asumir que una empresa estadounidense compartirá la noticia por iniciativa propia en cuanto algo salga mal. El propio calendario de IDScan, un supuesto año de acceso silencioso seguido de nueve días entre el anuncio público en la dark web y la confirmación de la empresa, es el argumento para tratar esa cláusula como algo esencial y no como un formalismo, y para preguntar ahora, no después del próximo titular, exactamente con qué rapidez está un proveedor obligado por contrato a avisar.
Servola Journal
Hacemos esto por todos los que intentan mantenerse al día con lo que la tecnología le está haciendo a nuestras vidas. Las personas que la construyen, y las personas a las que les ocurre. Servola Journal existe para que lo que aprendemos pertenezca a todos ellos.
Nadie nos paga por esto. Sin anuncios, sin muro de pago, gratis para todos. Simplemente creemos que entender lo que nos está pasando a todos no debería depender de quién puede permitirse pagar por ello.
Si hoy te ha aportado algo, dinos que sigamos adelante. Síguenos, deja un me gusta o escribe un comentario positivo. Leemos todos y cada uno, y son lo que nos mantiene en marcha.
Leer a continuación: Una brecha que su registro DORA no puede explicar | Brecha en CEVA Logistics afecta a compradores de Steam
