Identità digitale in pericolo: 153 milioni di documenti di identità in vendita sul dark web

—

Un’immensa quantità di dati sensibili, compresi oltre 153 milioni di documenti di identità statunitensi e canadesi, è in vendita sul dark web. I dati, tra cui scansione di licenze di guida, documenti di viaggio e informazioni personali, sono stati resi disponibili da un servizio chiamato Nexus, che ha rivelato la sua presenza su un forum di cybercrime russo. L’incidente ha suscitato l’interesse dell’FBI, che ha aperto un’indagine per chiarire l’origine dei dati. La situazione rappresenta un esempio drammatico del rischio che si corre quando l’identità digitale viene verificata attraverso terzi, creando database vulnerabili a furto e abuso.

Un sistema in crisi

Il sistema attuale di verifica dell’identità, basato su terzi, ha creato un’infrastruttura in cui i dati sensibili vengono raccolti, archiviati e condivisi in modo non sicuro. Secondo Zach Edwards, ricercatore di sicurezza e privacy, il caso di Nexus mette in luce i rischi di affidare la verifica dell’identità a una rete di contratti quasi governativi. I dati raccolti, tra cui numeri di patente, informazioni personali e immagini di documenti, sono diventati una preda attraente per i criminali. La presenza di licenze di guida di personaggi pubblici, tra cui il segretario alla Difesa Pete Hegseth, ha ulteriormente aggravato la situazione. La violazione ha reso disponibili documenti di identità di alto valore, tra cui scansione di licenze di guida e informazioni personali, che possono essere utilizzati per frodi e attività illegali. L’incidenza del problema è ulteriormente aggravata dal fatto che i dati sembrano essere freschi e aggiornati, rendendoli particolarmente utili per i criminali.

Un’infrastruttura globale

La società IDScan.net, una delle principali aziende di verifica dell’identità, ha un ruolo centrale in questa situazione. La sua tecnologia è utilizzata da centinaia di aziende, tra cui Holiday Inn, 7-Eleven e Hertz, per verificare l’identità dei clienti. I dati raccolti attraverso il sistema di IDScan.net sono stati utilizzati per alimentare il database Nexus, che ha accumulato oltre 153 milioni di licenze di guida in poco tempo. L’azienda ha affermato di essere in corso un’indagine sull’incidente, ma non ha confermato che i suoi sistemi fossero la fonte dei dati. L’FBI ha aperto un’indagine per chiarire l’origine del furto.

Il problema non è nuovo. Nel 2024, AT&T ha rivelato che i dati di 73 milioni di clienti, tra cui numeri di Social Security e indirizzi email, erano stati violati. Nel 2025, un attacco a PowerSchool ha esposto informazioni sensibili di milioni di studenti e docenti. Questi episodi dimostrano come la raccolta di dati sensibili, necessaria per la conformità legale, possa creare rischi significativi.

Le violazioni di dati sensibili non sono un fenomeno isolato, ma parte di un sistema in cui la raccolta di informazioni personali è diventata una pratica comune e spesso incontrollata. La soluzione richiede un cambiamento sia tecnologico che normativo. Esistono soluzioni tecniche per mitigare i rischi legati alla raccolta di dati sensibili. Ad esempio, i proofs a zero conoscenza permettono di verificare l’identità senza rivelare informazioni personali. Queste tecnologie non risolvono tutti i problemi, ma offrono un modo per ridisegnare il sistema in modo che la verifica dell’identità non crei ulteriori problemi.

Peter Van Valkenburgh, esperto di politica dei criptovalori, ha sottolineato che la società è “molto, molto in ritardo” nel ridurre la quantità di dati personali raccolti. La soluzione richiede un cambiamento sia tecnologico che normativo. Nonostante le soluzioni esistano, la conformità alle normative rimane un ostacolo. Le aziende e i regolatori spesso preferiscono metodi tradizionali, anche se non sempre sicuri.

—